PT-2022-23900 · Stealjs · Stealjs

Secdevlpr26 · Publicado 2022-09-20 · Atualizado 2023-08-08 · CVE-2022-37259

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

stealjs, versão 2.2.4

Descrição

Foi identificada uma falha de negação de serviço por expressão regular (ReDoS) no software, relacionada à variável string no arquivo babel.js. Esse problema pode causar uma negação de serviço.

Recomendações

Para a versão 2.2.4, considere restringir o acesso ao arquivo babel.js ou desativar o uso da variável string até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2022-37259

GHSA-RGQX-226F-2XP4

Produtos afetados

Stealjs

Referências · 8

• https://github.com/stealjs/steal/blob/c9dd1eb19ed3f97aeb93cf9dcea5d68ad5d0ced9/ext/babel.js#L54124 · Nota
• https://github.com/stealjs/steal · Nota
• https://github.com/stealjs/steal/issues/1528 · Nota
• https://github.com/stealjs/steal/blob/c9dd1eb19ed3f97aeb93cf9dcea5d68ad5d0ced9/ext/babel.js#L54129 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-37259 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-37259 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rgqx-226f-2xp4 · Aviso do Fabricante
• https://t.me/cibsecurity/50161 · Publicação no Telegram