CVE-2022-24999

总结

6.10.3 之前的 qs（用于 4.17.3 之前的 Express 及其他产品）允许攻击者导致 Express 应用程序的 Node 进程挂起，因为可以使用 __ proto__ 键。在许多典型的 Express 使用场景中，未经验证的远程攻击者可以将攻击负载放置在用于访问应用程序的 URL 的查询字符串中，例如 a[__proto__]=b&a[__proto__]&a[length]=100000000。该修复已向后移植到 qs 6.9.7、6.8.3、6.7.3、6.6.1、6.5.3、6.4.1、6.3.3 和 6.2.4（因此 Express 4.17.3 不易受攻击，其发布说明中包含“deps: [email protected]”）。

• CVE-2022-24999PoC

  `qs` 原型污染漏洞（CVE-2022-24999）