CVE-2024-45296

Versões do path-to-regexp anteriores à 0.1.10

Versões do path-to-regexp anteriores à 8.0.0

O problema surge quando o path-to-regexp gera uma expressão regular que pode causar baixo desempenho, levando a uma Negação de Serviço (DoS). Isso ocorre quando há dois parâmetros dentro de um único segmento, separados por algo que não seja um ponto (.). Por exemplo, /:a-:b pode produzir uma expressão regular que pode ser explorada. O impacto estimado é significativo, com desempenho mais de 1000 vezes pior do que a expressão regular segura em benchmarks locais. Em um ambiente realista, isso pode resultar em uma latência média de ~600 ms contra 1 ms.

Para usuários da versão 0.1, atualize para a 0.1.10.

Para todos os outros usuários, atualize para a 8.0.0.

Como solução temporária, considere fornecer uma expressão regular personalizada para parâmetros após o primeiro em um único segmento, garantindo que ela não corresponda ao texto antes do parâmetro.

Alternativamente, limite o comprimento da URL para melhorar o desempenho, por exemplo, reduzindo pela metade a string de ataque, o que pode melhorar o desempenho em 4 vezes.