CVE-2023-43646
高已发布
get-func-name 中的低效正则表达式复杂度
- 已发布
- 2023年9月26日
- 已更新
- 2024年9月24日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月7日
初级CVSS
8.6/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H1.1%
低 · 未来 30 天
- 百分位
- 64.1%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
get-func-name 是一个用于在 NodeJS 和浏览器中安全且一致地获取函数名称的模块。2.0.1 之前的版本存在正则表达式拒绝服务（redos）漏洞，在解析恶意输入时可能导致拒绝服务。当输入中存在括号不平衡时，该漏洞可被利用，导致过度回溯，进而显著增加 CPU 负载和处理时间。可通过以下输入触发此漏洞：`'\t'.repeat(54773) + '\t/function/i'`。此问题已在提交 `f934b228b` 中得到修复，该提交已包含在 2.0.1 及更高版本中。建议用户进行升级。目前尚无针对此漏洞的已知变通方案。
来源
1redos
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。