CVE-2026-125333

Nome do Software Vulnerável e Versões Afetadas Forge versões 0.1.2 até 1.4.2

Description No módulo forge.http, a função trimString() em lib/http.js utiliza uma expressão regular para remover espaços em branco no final de valores de cabeçalho de resposta e nomes e valores de cookies. Esta expressão regular pode levar um tempo quadrático ao processar uma sequência longa de espaços em branco seguida de um caractere que não seja um espaço. Um servidor malicioso ou um invasor no caminho pode explorar isso fornecendo um cabeçalho de resposta especialmente criado, fazendo com que as funções response.readHeader() ou response.getCookies() analisem a entrada repetidamente. Isso resulta em uma Negação de Serviço por Expressão Regular (ReDoS), que bloqueia o loop de eventos do Node.js ou a guia do navegador por vários minutos. Este problema afeta especificamente aplicações que utilizam forge.http com um pool de sockets para comunicar com servidores não confiáveis.

Recommendations Atualize o Forge para a versão 1.4.3. Como mitigação temporária, limite o tamanho dos cabeçalhos de resposta HTTP no manipulador de dados do pool de sockets antes que sejam passados para o forge.http.