CVE-2017-15871

Wysokie

Opublikowano: 24/10/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Funkcja deserializacji w serialize-to-js w wersjach do 1.1.1 umożliwia atakującym wywołanie odmowy usługi poprzez wykorzystanie ciągu znaków 'function()'. Przykłady obejmują wywołanie 'function(){console.log(' lub prostą nieskończoną pętlę.

Ocena ryzyka

Odmowa usługi może prowadzić do niedostępności aplikacji, co wpływa na ciągłość działania organizacji. Istnieje ryzyko, że atakujący mogą wykorzystać tę podatność do zakłócenia usług.

Rekomendacja

Zaleca się aktualizację do nowszej wersji serialize-to-js, aby usunąć tę podatność. Należy również monitorować aplikacje pod kątem potencjalnych prób wykorzystania tej luki.

Inne podatności w serialize-to-js

CVE-2017-5954Krytyczne
W pakiecie serialize-to-js w wersji 0.5.0 dla Node.js odkryto problem. Nieufne dane przekazywane do funkcji deserialize() mogą być wykorzystane do wykonania dowolnego kodu poprzez przekazanie obiektu JavaScript z natychmiastowo wywoływaną funkcją wyrażeniową (IIFE).

Oryginalny opis (angielski, źródło NVD)

The deserialize function in serialize-to-js through 1.1.1 allows attackers to cause a denial of service via vectors involving an Immediately Invoked Function Expression "function()" substring, as demonstrated by a "function(){console.log(" call or a simple infinite loop. NOTE: the vendor agrees that denial of service can occur but notes that deserialize is explicitly listed as "harmful" within the README.md file