Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en un campo de encabezado en una petición HTTP en Node.js (CVE-2020-8287)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
06/01/2021
Última modificación:
07/11/2023

Descripción

Node.js versiones anteriores a 10.23.1, 12.20.1, 14.15.4, 15.5.1 permiten dos copias de un campo de encabezado en una petición HTTP (por ejemplo, dos campos de encabezado Transfer-Encoding). En este caso, Node.js identifica el primer campo de encabezado e ignora el segundo. Esto puede conllevar a un Tráfico no Autorizado de Peticiones HTTP

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* 10.0.0 (incluyendo) 10.23.1 (excluyendo)
cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* 12.0.0 (incluyendo) 12.20.1 (excluyendo)
cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* 14.0.0 (incluyendo) 14.15.4 (excluyendo)
cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* 15.0.0 (incluyendo) 15.5.1 (excluyendo)
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
cpe:2.3:a:oracle:graalvm:19.3.4:*:*:*:enterprise:*:*:*
cpe:2.3:a:oracle:graalvm:20.3.0:*:*:*:enterprise:*:*:*
cpe:2.3:a:siemens:sinec_infrastructure_network_services:*:*:*:*:*:*:*:* 1.0.1.1 (excluyendo)