CVE-2025-67731

Wysokie

Opublikowano: 12/12/2025(UTC)Przetłumaczono: 31/05/2026(UTC)NVD NIST

Streszczenie

Servify Express to pakiet Node.js do uruchamiania serwera Express, który przed wersją 1.2 nie miał limitu rozmiaru dla express.json(). To umożliwia atakującym wysyłanie bardzo dużych ciał żądań, co może prowadzić do nadmiernego zużycia pamięci, pogorszenia wydajności lub awarii procesów, skutkując atakiem typu Denial of Service (DoS).

Ocena ryzyka

Organizacje korzystające z aplikacji używających parsera JSON bez limitów i wystawionych na niezaufanych klientów są narażone na ataki DoS, co może prowadzić do przerw w dostępności usług.

Rekomendacja

Zaleca się aktualizację do wersji 1.2 lub dodanie opcji limitu do parsera JSON, wprowadzenie limitów szybkości na poziomie aplikacji lub reverse proxy oraz odrzucanie wyjątkowo dużych żądań przed ich parsowaniem.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Servify Express is a Node.js package to start an Express server and log the port it's running on. Prior to 1.2, the Express server used express.json() without a size limit, which could allow attackers to send extremely large request bodies. This can cause excessive memory usage, degraded performance, or process crashes, resulting in a Denial of Service (DoS). Any application using the JSON parser without limits and exposed to untrusted clients is affected. The issue is not a flaw in Express itself, but in configuration. This issue is fixed in version 1.2. To work around, consider adding a limit option to the JSON parser, rate limiting at the application or reverse-proxy level, rejecting unusually large requests before parsing, or using a reverse proxy (such as NGINX) to enforce maximum request body sizes.