PT-2022-24021 · Webpack+2 · Loader-Utils+2

Kundarsowjanya · Publicado 2022-10-11 · Atualizado 2026-06-04 · CVE-2022-37599

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

webpack loader-utils versão 2.0.0

Descrição

Foi encontrada uma falha de negação de serviço por expressão regular (ReDoS) na função interpolateName no arquivo interpolateName.js por meio da variável resourcePath. Essa vulnerabilidade pode ser explorada enviando-se solicitações maliciosas com strings malformadas ou criadas propositalmente, causando a falha do sistema ou um tempo de processamento desproporcionalmente longo.

Recomendações

Para a versão 2.0.0, atualize para a versão 2.0.4 para resolver o problema.

Como solução temporária, considere restringir o uso da função interpolateName até que um patch esteja disponível.

Evite usar a variável resourcePath no arquivo interpolateName.js afetado até que o problema seja resolvido.

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

CWE-1333

Identificadores relacionados

CVE-2022-37599

GHSA-HHQ3-FF78-JV3G

MGASA-2025-0194

Produtos afetados

Confluence

Red Os

Loader-Utils

Referências · 32

• https://github.com/webpack/loader-utils/blob/d9f4e23cf411d8556f8bac2d3bf05a6e0103b568/lib/interpolateName.js#L83 · Nota
• https://github.com/webpack/loader-utils/issues/216 · Correção
• https://github.com/webpack/loader-utils/issues/211 · Nota
• https://github.com/webpack/loader-utils/blob/d9f4e23cf411d8556f8bac2d3bf05a6e0103b568/lib/interpolateName.js#L38 · Nota
• https://github.com/webpack/loader-utils · Nota
• https://github.com/webpack/loader-utils/commit/ac09944dfacd7c4497ef692894b09e63e09a5eeb · Nota
• https://github.com/webpack/loader-utils/commit/d2d752d59629daee38f34b24307221349c490eb1 · Nota
• https://github.com/webpack/loader-utils/commit/17cbf8fa8989c1cb45bdd2997aa524729475f1fa · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/6PVVPNSAGSDS63HQ74PJ7MZ3MU5IYNVZ · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-37599 · Nota de Segurança
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-opensearch-dashboards-04-07-24 · Nota
• https://t.me/cvenotify/37974 · Publicação no Telegram
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6PVVPNSAGSDS63HQ74PJ7MZ3MU5IYNVZ · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-37599 · Aviso do Fabricante
• https://osv.dev/vulnerability/MGASA-2025-0194 · Aviso do Fabricante