CVE-2024-21536

WysokieCVSS 7.5

Opublikowano: 19/10/2024(UTC)Zaktualizowano: 01/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.01%

Percentyl 60 - wyżej niż 60% wszystkich znanych CVE

Streszczenie

Wersje pakietu http-proxy-middleware przed 2.0.7 oraz od 3.0.0 do 3.0.3 są podatne na Denial of Service (DoS) z powodu błędu UnhandledPromiseRejection generowanego przez micromatch. Atakujący może zabić proces Node.js i spowodować awarię serwera, wysyłając żądania do określonych ścieżek.

Ocena ryzyka

Ryzyko polega na możliwości przerwania działania serwera poprzez atak DoS, co może prowadzić do niedostępności usług.

Rekomendacja

Należy zaktualizować http-proxy-middleware do wersji 2.0.7 lub nowszej (dla gałęzi 2.x) lub do wersji 3.0.3 lub nowszej (dla gałęzi 3.x).

Inne podatności w http-proxy-middleware

CVE-2026-55603Wysokie
W bibliotece http-proxy-middleware w wersjach od 3.0.4 do 3.0.7 oraz 4.1.1 występuje podatność związana z metodą fixRequestBody(). Przy wysyłaniu danych w formacie multipart/form-data, atakujący może wstrzyknąć nowe części formularza, co prowadzi do desynchronizacji danych między proxy a backendem.

Oryginalny opis (angielski, źródło NVD)

Versions of the package http-proxy-middleware before 2.0.7, from 3.0.0 and before 3.0.3 are vulnerable to Denial of Service (DoS) due to an UnhandledPromiseRejection error thrown by micromatch. An attacker could kill the Node.js process and crash the server by making requests to certain paths.