PT-2020-16407 · Npm · Date-And-Time

Publicado 2020-12-24 · Atualizado 2020-12-30 · CVE-2020-26289

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do pacote date-and-time anteriores à 0.14.2

Descrição

O problema está relacionado a uma expressão regular utilizada na análise de dados, que pode ser explorada para causar uma negação de serviço. Esse problema está associado ao pacote npm date-and-time, utilizado para manipular data e hora.

Recomendações

Para versões anteriores à 0.14.2, atualize para a versão 0.14.2 para resolver o problema. Como solução temporária, considere restringir o uso da função de análise que envolve a expressão regular vulnerável até que um patch seja aplicado.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2020-26289

GHSA-R92X-F52R-X54G

Produtos afetados

Date-And-Time

Referências · 9

• https://github.com/knowledgecode/date-and-time/commit/9e4b501eacddccc8b1f559fb414f48472ee17c2a · Correção
• https://github.com/knowledgecode/date-and-time/security/advisories/GHSA-r92x-f52r-x54g · Nota
• https://t.me/cibsecurity/21366 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-26289 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-r92x-f52r-x54g · Aviso do Fabricante
• https://t.me/cvenotify/7829 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-26289 · Aviso do Fabricante
• https://npmjs.com/package/date-and-time · Nota
• https://npmjs.com/advisories/1592 · Nota