PT-2022-17038
CVE-2022-24999
·
Publicado
2022-11-26
·
Atualizado
2026-10-01
Descrição por
CVSS 3.1
7.5
AltaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Nome do software vulnerável e versões afetadas
Versões do qs anteriores à 6.10.3
Versões do Express anteriores à 4.17.3
Descrição
A vulnerabilidade permite que invasores provoquem o travamento de um processo Node em uma aplicação Express, pois uma chave
proto pode ser utilizada. Em muitos casos típicos de uso do Express, um invasor remoto não autenticado pode inserir a carga de ataque na string de consulta da URL usada para acessar a aplicação, como a[ proto ]=b&a[ proto ]&a[length]=100000000.Recomendações
Para versões do qs anteriores à 6.10.3, atualize para o qs 6.10.3 ou posterior.
Para versões do Express anteriores à 4.17.3, atualize para o Express 4.17.3 ou posterior, que inclui a versão corrigida do qs.
Como solução alternativa temporária, considere restringir o acesso aos parâmetros de string de consulta
a[ proto ] e a[length] para minimizar o risco de exploração.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾