PT-2022-20550 · Moment+5 · Moment+6
Hernev
+1
·
Publicado
2022-07-06
·
Atualizado
2026-06-04
·
CVE-2022-31129
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões do moment anteriores à 2.29.4
Descrição
O problema está relacionado a um algoritmo de análise ineficiente utilizado na biblioteca de data do JavaScript moment, especificamente na análise de strings para datas e na análise rfc2822. Isso resulta em complexidade quadrática em entradas específicas, causando uma lentidão perceptível com entradas acima de 10 mil caracteres. Usuários que passam strings fornecidas pelo usuário sem verificações de comprimento válidas para o construtor do moment estão vulneráveis a ataques (Re)DoS.
Recomendações
Para versões do moment anteriores à 2.29.4, atualize para a versão 2.29.4 ou posterior.
Como solução alternativa temporária, considere limitar o comprimento da entrada do usuário a algo razoável, como 200 caracteres ou menos, para minimizar o risco de exploração.
Exploit
Correção
DoS
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Astra Linux
Bitbucket
Confluence
Linuxmint
Suse
Ubuntu
Moment