PT-2022-24031 · Unknown · Kangax Html-Minifier

Secdevlpr26 · Publicado 2022-10-31 · Atualizado 2026-06-04 · CVE-2022-37620

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

kangax html-minifier versão 4.0.0

Descrição

Foi identificada uma falha de negação de serviço por expressão regular (ReDoS) na variável candidate no arquivo htmlminifier.js. Esse problema pode causar uma negação de serviço.

Recomendações

Para o kangax html-minifier versão 4.0.0, considere desativar a variável candidate no arquivo htmlminifier.js como uma solução temporária até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-1333

CWE-400

Identificadores relacionados

CVE-2022-37620

GHSA-PFQ8-RQ6V-VF5M

Produtos afetados

Kangax Html-Minifier

Referências · 13

• 🔥 https://github.com/kangax/html-minifier/blob/51ce10f4daedb1de483ffbcccecc41be1c873da2/src/htmlminifier.js#L1338 · Exploit
• 🔥 https://github.com/kangax/html-minifier/blob/51ce10f4daedb1de483ffbcccecc41be1c873da2/src/htmlminifier.js#L294 · Exploit
• https://github.com/kangax/html-minifier · Nota
• https://github.com/kangax/html-minifier/issues/1135 · Nota
• https://security.snyk.io/vuln/SNYK-JS-HTMLMINIFIER-3091181 · Nota
• https://t.me/cvenotify/100533 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-37620 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-pfq8-rq6v-vf5m · Aviso do Fabricante
• https://t.me/cvenotify/124270 · Publicação no Telegram
• https://t.me/cvenotify/120661 · Publicação no Telegram
• https://t.me/cvenotify/121022 · Publicação no Telegram
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2022-37620 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-37620 · Aviso do Fabricante