CVE-2023-43646
Complessità inefficiente dell'espressione regolare in get-func-name
- Pubblicato
- 26 set 2023
- Aggiornato
- 24 set 2024
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 7 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:HBasso · prossimi 30 giorni
- Percentile
- 71,7%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
get-func-name è un modulo per recuperare il nome di una funzione in modo sicuro e coerente sia in NodeJS che nel browser. Le versioni precedenti alla 2.0.1 sono soggette a una vulnerabilità di denial of service tramite espressione regolare (ReDoS) che può portare a un denial of service durante l'analisi di input malintenzionati. Questa vulnerabilità può essere sfruttata quando c'è uno squilibrio nelle parentesi, che provoca un backtracking eccessivo e di conseguenza aumenta significativamente il carico della CPU e i tempi di elaborazione. Questa vulnerabilità può essere innescata utilizzando il seguente input: '\t'.repeat(54773) + '\t/function/i'. Il problema è stato risolto nel commit `f934b228b` che è stato incluso nelle versioni successive alla 2.0.1. Gli utenti sono invitati ad aggiornare. Non sono note soluzioni alternative per questa vulnerabilità.
Fonti
redos
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.