PT-2022-23902 · Stealjs · Stealjs

Secdevlpr26 · Publicado 2022-09-15 · Atualizado 2023-08-08 · CVE-2022-37260

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

stealjs, versão 2.2.4

Descrição

Foi identificada uma falha de negação de serviço por expressão regular (ReDoS) na variável input do arquivo main.js. Esse problema pode causar uma negação de serviço.

Recomendações

Para a versão 2.2.4, considere restringir a entrada para impedir a exploração da falha ReDoS até que um patch esteja disponível. Como solução temporária, evite usar a variável input no main.js para minimizar o risco de negação de serviço.

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2022-37260

GHSA-7F3X-2WCX-HWW8

Produtos afetados

Stealjs

Referências · 7

• https://github.com/stealjs/steal · Nota
• https://github.com/stealjs/steal/issues/1529 · Nota
• https://github.com/stealjs/steal/blob/c9dd1eb19ed3f97aeb93cf9dcea5d68ad5d0ced9/main.js#L3344 · Nota
• https://github.com/stealjs/steal/blob/c9dd1eb19ed3f97aeb93cf9dcea5d68ad5d0ced9/main.js#L2490 · Nota
• https://osv.dev/vulnerability/CVE-2022-37260 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-7f3x-2wcx-hww8 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-37260 · Nota de Segurança