Vulnerabilidad en el módulo "path" en Node.js (CVE-2018-7158)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
17/05/2018
Última modificación:
29/08/2022
Descripción
El módulo "path" en la línea de distribución 4.x de Node.js cointiene un vector potencial de denegación de servicio con expresiones regulares (ReDoS). El código en cuestión se reemplazó en Node.js 6.x y siguientes, por lo que esta vulnerabilidad solo impact a todas las versiones de Node.js 4.x. La expresión regular "splitPathRe", empleada en el módulo "path" para las diversas funciones de análisis de ruta, incluyendo "path.dirname()", "path.extname()" y "path.parse()" se estructuró de tal forma que permite que un atacante manipule una cadena que, al pasarse por una de estas funciones, podría gastar mucho tiempo para evaluar. Esto podría conducir a una denegación de servicio (DoS) completa.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* | 4.0.0 (incluyendo) | 4.1.2 (incluyendo) |
| cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* | 4.2.0 (incluyendo) | 4.9.1 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página