PT-2025-37434 · Npm · Express-Xss-Sanitizer

Spendroslav · Publicado 2025-09-14 · Atualizado 2025-09-26 · CVE-2025-59364

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas versões do express-xss-sanitizer até 2.0.0

Descrição O pacote express-xss-sanitizer contém uma profundidade de recursão ilimitada na função sanitize, localizada em lib/sanitize.js, ao processar um corpo de requisição JSON.

Recomendações Atualize para uma versão do express-xss-sanitizer superior a 2.0.0.

Correção

Uncontrolled Recursion

Enumeração de Fraquezas

CWE-674

Identificadores relacionados

CVE-2025-59364

GHSA-HVQ2-WF92-J4F3

GHSA-QHWP-454G-2GV4

Produtos afetados

Express-Xss-Sanitizer

Referências · 15

• https://github.com/AhmedAdelFahim/express-xss-sanitizer · Nota
• https://github.com/AhmedAdelFahim/express-xss-sanitizer/security/advisories/GHSA-hvq2-wf92-j4f3 · Nota
• https://github.com/AhmedAdelFahim/express-xss-sanitizer/commit/62d6542a2a57298da7a2e02de623454007e4f6d6 · Nota
• https://github.com/AhmedAdelFahim/express-xss-sanitizer/pull/23 · Nota
• https://t.me/CVEtracker/32468 · Publicação no Telegram
• https://npmjs.com/package/express-xss-sanitizer · Nota
• https://osv.dev/vulnerability/GHSA-hvq2-wf92-j4f3 · Aviso do Fabricante
• https://t.me/cveNotify/135420 · Publicação no Telegram
• https://tenable.com/cve/CVE-2025-59364 · Nota
• https://osv.dev/vulnerability/CVE-2025-59364 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-59364 · Nota de Segurança
• https://gist.github.com/Spendroslav/177804eaef5acfb222a550de212a1b94 · Nota
• https://dbugs.ptsecurity.com/vulnerability/PT-2025-37434 · Nota
• https://twitter.com/CVEnew/status/1967357802156106074 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-qhwp-454g-2gv4 · Aviso do Fabricante