CVE-2024-38355
Errore non gestito nell'evento 'error' in socket.io
- Pubblicato
- 19 giu 2024
- Aggiornato
- 3 set 2024
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 6 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:LBasso · prossimi 30 giorni
- Percentile
- 51,0%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Socket.IO è un framework di comunicazione open source, in tempo reale, bidirezionale e basato su eventi. Un pacchetto Socket.IO appositamente creato può innescare un'eccezione non catturata sul server Socket.IO, causando così la terminazione del processo Node.js. Questo problema è risolto dal commit `15af22fc22`, incluso in `[email protected]` (rilasciato a maggio 2023). La correzione è stata anche riportata nel ramo 2.x con il commit `d30630ba10`. Si consiglia agli utenti di eseguire l'aggiornamento. Gli utenti che non possono aggiornare possono aggiungere un listener per l'evento "error" per intercettare questi errori.
Fonti
1Prova di concetto di CVE-2024-47554
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.