CVE-2025-56571

WysokieCVSS 7.5

Opublikowano: 30/09/2025(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Finance.js w wersji 4.1.0 zawiera podatność na atak typu Denial of Service (DoS) poprzez parametr głębokości w funkcji IRR. Nieprawidłowe zarządzanie limitem rekurencji/iteracji może prowadzić do nadmiernego zużycia procesora, powodując zawieszenie lub awarię aplikacji.

Ocena ryzyka

Atakujący może zdalnie przeciążyć serwer, powodując niedostępność aplikacji finansowej dla użytkowników, co skutkuje przerwaniem działania usługi i potencjalnymi stratami finansowymi.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki Finance.js do najnowszej wersji, która usuwa tę podatność, lub zastosowanie ograniczeń na poziomie aplikacji dla parametru głębokości w funkcji IRR.

Inne podatności w Finance.js

CVE-2025-56572Wysokie
W bibliotece finance.js w wersji 4.1.0 odkryto podatność, która umożliwia zdalnemu atakującemu spowodowanie odmowy usługi (DoS) poprzez parametr seekZero().

Oryginalny opis (angielski, źródło NVD)

Finance.js v4.1.0 contains a Denial of Service (DoS) vulnerability via the IRR function’s depth parameter. Improper handling of the recursion/iteration limit can lead to excessive CPU usage, causing application stalls or crashes.