Vulnerabilidad en path-to-regexp (CVE-2024-45296)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
09/09/2024
Última modificación:
24/01/2025
Descripción
path-to-regexp convierte cadenas de ruta en expresiones regulares. En ciertos casos, path-to-regexp generará una expresión regular que puede explotarse para generar un rendimiento deficiente. Debido a que JavaScript es de un solo subproceso y la coincidencia de expresiones regulares se ejecuta en el subproceso principal, un rendimiento deficiente bloqueará el bucle de eventos y provocará un ataque de denegación de servicio (DoS). La expresión regular incorrecta se genera cada vez que hay dos parámetros dentro de un solo segmento, separados por algo que no sea un punto (.). Para los usuarios de la versión 0.1, actualice a la versión 0.1.10. Todos los demás usuarios deben actualizar a la versión 8.0.0.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Referencias a soluciones, herramientas e información
- https://github.com/pillarjs/path-to-regexp/commit/29b96b4a1de52824e1ca0f49a701183cc4ed476f
- https://github.com/pillarjs/path-to-regexp/commit/60f2121e9b66b7b622cc01080df0aabda9eedee6
- https://github.com/pillarjs/path-to-regexp/security/advisories/GHSA-9wv6-86v2-598j
- https://security.netapp.com/advisory/ntap-20250124-0001/