PT-2026-52200 · Npm · Shell-Quote
CVSS v4.0
8.7
عالية
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات shell-quote الأقدم من 1.8.5
الوصف
تقوم الدالة
parse() بإنهاء معالجة الرموز التي تم تحليلها باستخدام Array.prototype.concat كمُجمِّع في عملية التخفيض (reduce)، مما يؤدي إلى إعادة تخصيص المصفوفة المتنامية بأكملها ونسخها خلال كل تكرار. وينتج عن ذلك تعقيد زمني من الدرجة الثانية بالنسبة لعدد الرموز المدخلة. يمكن للمهاجم الذي يقدم سلسلة نصية خاضعة للتحكم إلى أي مسار برمجي يستدعي parse() أن يعطل حلقة أحداث Node.js أحادية الخيط لفترة طويلة، مما يؤدي إلى رفض الخدمة. تؤثر هذه المشكلة على التوافر ولا تسمح بتنفيذ التعليمات البرمجية أو الكشف عن البيانات.التوصيات
التحديث إلى الإصدار 1.8.5.
استغلال
إصلاح
DoS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Shell-Quote