CVE-2025-71329
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wersja 2.0.2 biblioteki image-size zawiera podatność na odmowę usługi, która pozwala zdalnym atakującym na zablokowanie pętli zdarzeń Node.js. Atakujący mogą wywołać nieskończoną pętlę w parserach obrazów JXL lub HEIF, dostarczając specjalnie przygotowany obraz z zerową wartością pola rozmiaru.
Ocena ryzyka
Podatność ta może prowadzić do trwałego zablokowania aplikacji, co wpływa na dostępność usług. Organizacje mogą doświadczyć przestojów i utraty zaufania użytkowników.
Rekomendacja
Zaleca się aktualizację biblioteki image-size do najnowszej wersji, aby usunąć tę podatność. Należy również monitorować aplikacje pod kątem nieautoryzowanych prób dostarczenia złośliwych obrazów.
Inne podatności w image-size 2.0.2
Zobacz wszystkie- CVE-2025-71330Wysokie
Wersja 2.0.2 biblioteki image-size zawiera podatność typu denial of service, która pozwala zdalnym atakującym na trwałe zablokowanie pętli zdarzeń Node.js poprzez dostarczenie specjalnie przygotowanego bufora obrazu ICNS. Atakujący mogą stworzyć bufor ICNS z ważnymi bajtami magicznymi oraz zerową długością wpisu, co prowadzi do nieskończonej pętli w parserze ICNS.
- CVE-2025-71319Wysokie
Biblioteka image-size do wersji 2.0.2 zawiera podatność na odmowę usługi poprzez nieskończoną pętlę w parserach JXL lub HEIF. Specjalnie spreparowany obraz z polem rozmiaru równym zero powoduje zablokowanie pętli zdarzeń Node.js.
Oryginalny opis (angielski, źródło NVD)
image-size through 2.0.2 contains a denial of service vulnerability that allows remote attackers to permanently block the Node.js event loop by supplying a specially crafted image buffer with a zero-valued size field in a recognized box-type. Attackers can trigger an infinite loop in the JXL or HEIF image parsers by providing a crafted image containing a box with a size of zero, causing the offset to never advance and permanently hanging the application.