Socket.Io · Socket.Io · CVE-2022-21676
**Nome do software vulnerável e versões afetadas**
engine.io, versões 4.0.0 a 6.x.x
**Descrição**
Uma solicitação HTTP especialmente criada pode acionar uma exceção não capturada no servidor Engine.IO, encerrando assim o processo Node.js. Este problema afeta todos os usuários do pacote `engine.io` a partir da versão `4.0.0`, incluindo aqueles que utilizam pacotes dependentes como o `socket.io`. Versões anteriores à `4.0.0` não são afetadas.
**Recomendações**
Para a versão `4.x.x` do `engine.io`, atualize para a versão `4.1.2`.
Para a versão `5.x.x` do `engine.io`, atualize para a versão `5.2.1`.
Para a versão `6.x.x` do `engine.io`, atualize para a versão `6.1.1`.
Para usuários do `socket.io`, consulte os seguintes caminhos de atualização:
- `socket.io@4.3.x`, `socket.io@4.1.x` e `socket.io@4.0.x` devem ser atualizados para `socket.io@4.4.x`.
- `socket.io@3.0.x` deve ser atualizado para `socket.io@3.1.x` ou `socket.io@4.4.x`.
Na maioria dos casos, executar `npm audit fix` deve ser suficiente. Você também pode usar `npm update engine.io --depth=9999`.