CVE-2025-62595

ŚrednieCVSS 4.3

Opublikowano: 21/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Koa, framework dla Node.js, w wersjach 2.16.2 do przed 2.16.3 oraz 3.0.1 do przed 3.0.3, ma obejście poprawki CVE-2025-8129 dotyczącej funkcji przekierowania zwrotnego. Atakujący może manipulować nagłówkiem Referer, aby wymusić nawigację przeglądarki użytkownika do zewnętrznej, potencjalnie złośliwej strony.

Ocena ryzyka

Użytkownicy aplikacji opartych na Koa mogą być narażeni na ataki phishingowe lub socjotechniczne poprzez przekierowania na złośliwe strony.

Rekomendacja

Zaktualizuj Koa do wersji 3.0.3 lub nowszej, która zawiera poprawkę tej luki.

Inne podatności w Koa

CVE-2026-27959Wysokie
Podatność w bibliotece Koa dla Node.js polega na niewłaściwym parsowaniu nagłówka Host przez API `ctx.hostname`. Atakujący może wysłać spreparowany nagłówek Host zawierający znak `@`, co powoduje zwrócenie kontrolowanej przez niego wartości, np. `evil[.]com`. Problem występuje w wersjach przed 3.1.2 i 2.16.4.

Oryginalny opis (angielski, źródło NVD)

Koa is expressive middleware for Node.js using ES2017 async functions. In versions 2.16.2 to before 2.16.3 and 3.0.1 to before 3.0.3, a bypass to CVE-2025-8129 was discovered in the Koa.js framework affecting its back redirect functionality. In certain circumstances, an attacker can manipulate the Referer header to force a user’s browser to navigate to an external, potentially malicious website. This occurs because the implementation incorrectly treats some specially crafted URLs as safe relative paths. Exploiting this vulnerability could allow attackers to perform phishing, social engineering, or other redirect-based attacks on users of affected applications. This issue has been patched in version 3.0.3.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS