PT-2021-17444 · Npm · @Progfay/Scrapbox-Parser

Progfay · Publicado 2021-02-19 · Atualizado 2021-03-30 · CVE-2021-27405

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:P

Nome do software vulnerável e versões afetadas

Versões do @progfay/scrapbox-parser anteriores à 6.0.3

Versões do @progfay/scrapbox-parser anteriores à 7.0.2

Descrição

Foi encontrada uma falha de ReDoS (negação de serviço por expressão regular) no pacote @progfay/scrapbox-parser para Node.js. Essa vulnerabilidade permite que um invasor faça com que o aplicativo consuma uma quantidade excessiva de CPU ao analisar texto especialmente criado.

Recomendações

Para versões anteriores à 6.0.3, atualize para a versão 6.0.3 ou posterior.

Para versões anteriores à 7.0.2, atualize para a versão 7.0.2 ou posterior.

Como solução temporária, evite analisar texto com muitos caracteres [ para minimizar o risco de exploração.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2021-27405

GHSA-9FHW-R42P-5C7R

Produtos afetados

@Progfay/Scrapbox-Parser

Referências · 10

• https://github.com/progfay/scrapbox-parser/pull/539 · Correção
• https://github.com/progfay/scrapbox-parser/pull/540 · Correção
• https://github.com/progfay/scrapbox-parser/pull/519 · Correção
• https://github.com/progfay/scrapbox-parser/security/advisories/GHSA-9fhw-r42p-5c7r · Nota
• https://security.netapp.com/advisory/ntap-20210326-0002 · Nota
• https://osv.dev/vulnerability/CVE-2021-27405 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9fhw-r42p-5c7r · Aviso do Fabricante
• https://t.me/cvenotify/12026 · Publicação no Telegram
• https://t.me/cvenotify/10128 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-27405 · Nota de Segurança