PT-2025-7073 · Github · @Octokit/Request

Shiyubanzhou · Publicado 2025-02-14 · Atualizado 2026-06-04 · CVE-2025-25290

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas: @octokit/request versões 1.0.0 até 9.2.1

Descrição: A expressão regular /<([^>]+)>; rel="deprecation"/ usada para corresponder ao cabeçalho link em respostas HTTP é vulnerável a um ataque ReDoS (Negação de Serviço por Expressão Regular). Esta vulnerabilidade surge devido à natureza ilimitada do comportamento de correspondência da regex, o que pode levar a um backtracking catastrófico ao processar entrada especialmente construída. Um invasor poderia explorar essa falha enviando um cabeçalho link malicioso, resultando em uso excessivo da CPU e potencialmente fazendo com que o servidor pare de responder, impactando a disponibilidade do serviço.

Recomendações: Para as versões 1.0.0 até 9.2.1, atualize para a versão 9.2.1 para corrigir o problema. Como solução alternativa temporária, considere desabilitar o uso do cabeçalho link em respostas HTTP até que uma correção esteja disponível. Restrinja o acesso à expressão regular vulnerável para minimizar o risco de exploração. Evite usar o cabeçalho link com entrada especialmente construída no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2025-25290

GHSA-RMVR-2PP2-XJ38

Produtos afetados

@Octokit/Request

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/25xxx/CVE-2025-25290.json · Exploit
• https://github.com/octokit/request.js/commit/34ff07ee86fc5c20865982d77391bc910ef19c68 · Nota
• https://github.com/octokit/request.js/commit/356411e3217019aa9fc8a68f4236af82490873c2 · Nota
• https://github.com/octokit/request.js/security/advisories/GHSA-rmvr-2pp2-xj38 · Nota
• https://github.com/octokit/request.js/releases/tag/v8.4.1 · Nota
• https://github.com/octokit/request.js/releases/tag/v9.2.1 · Nota
• https://github.com/octokit/request.js/commit/6bb29ba92a52f7bf94469c3433707c682c17126c · Nota
• https://github.com/octokit/request.js · Nota
• https://twitter.com/VulmonFeeds/status/1890507503017890275 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-rmvr-2pp2-xj38 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-25290 · Nota de Segurança
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2025-25290 · Aviso do Fabricante
• https://t.me/cvedetector/18144 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-25290 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1890524752642732127 · Publicação no Twitter