Unknown · Path-To-Regexp · CVE-2024-45296
**Nome do software vulnerável e versões afetadas**
Versões do path-to-regexp anteriores à 0.1.10
Versões do path-to-regexp anteriores à 8.0.0
**Descrição**
O problema surge quando o path-to-regexp gera uma expressão regular que pode causar baixo desempenho, levando a uma Negação de Serviço (DoS). Isso ocorre quando há dois parâmetros dentro de um único segmento, separados por algo que não seja um ponto (.). Por exemplo, `/:a-:b` pode produzir uma expressão regular que pode ser explorada. O impacto estimado é significativo, com desempenho mais de 1000 vezes pior do que a expressão regular segura em benchmarks locais. Em um ambiente realista, isso pode resultar em uma latência média de ~600 ms contra 1 ms.
**Recomendações**
Para usuários da versão 0.1, atualize para a 0.1.10.
Para todos os outros usuários, atualize para a 8.0.0.
Como solução temporária, considere fornecer uma expressão regular personalizada para parâmetros após o primeiro em um único segmento, garantindo que ela não corresponda ao texto antes do parâmetro.
Alternativamente, limite o comprimento da URL para melhorar o desempenho, por exemplo, reduzindo pela metade a string de ataque, o que pode melhorar o desempenho em 4 vezes.