CVE-2025-71319
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Biblioteka image-size do wersji 2.0.2 zawiera podatność na odmowę usługi poprzez nieskończoną pętlę w parserach JXL lub HEIF. Specjalnie spreparowany obraz z polem rozmiaru równym zero powoduje zablokowanie pętli zdarzeń Node.js.
Ocena ryzyka
Atakujący może zdalnie zablokować aplikację Node.js korzystającą z image-size, powodując trwałe zawieszenie i odmowę usługi.
Rekomendacja
Zaktualizuj bibliotekę image-size do wersji 2.0.3 lub nowszej, która zawiera poprawkę.
Inne podatności w image-size
Zobacz wszystkie- CVE-2025-71330Wysokie
Wersja 2.0.2 biblioteki image-size zawiera podatność typu denial of service, która pozwala zdalnym atakującym na trwałe zablokowanie pętli zdarzeń Node.js poprzez dostarczenie specjalnie przygotowanego bufora obrazu ICNS. Atakujący mogą stworzyć bufor ICNS z ważnymi bajtami magicznymi oraz zerową długością wpisu, co prowadzi do nieskończonej pętli w parserze ICNS.
- CVE-2025-71329Wysokie
Wersja 2.0.2 biblioteki image-size zawiera podatność na odmowę usługi, która pozwala zdalnym atakującym na zablokowanie pętli zdarzeń Node.js. Atakujący mogą wywołać nieskończoną pętlę w parserach obrazów JXL lub HEIF, dostarczając specjalnie przygotowany obraz z zerową wartością pola rozmiaru.
Oryginalny opis (angielski, źródło NVD)
image-size through 2.0.2 contains a denial of service vulnerability that allows remote attackers to permanently block the Node.js event loop by supplying a specially crafted image buffer with a zero-valued size field in a recognized box-type. Attackers can trigger an infinite loop in the JXL or HEIF image parsers by providing a crafted image containing a box with a size of zero, causing the offset to never advance and permanently hanging the application.