CVE-2026-102990
WysokieCVSS 8.2Streszczenie
basic-ftp przed wersją 6.2.1 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service) w funkcji Client.list(). Złośliwy lub skompromitowany serwer FTP może wymusić kwadratowy wzrost czasu procesora podczas parsowania listy katalogów, co blokuje pętlę zdarzeń Node.js i zamraża proces.
Ocena ryzyka
Atakujący serwer FTP może spowodować niedostępność aplikacji korzystającej z klienta basic-ftp, co prowadzi do przerwania działania usług i potencjalnych strat finansowych.
Rekomendacja
Zaktualizuj bibliotekę basic-ftp do wersji 6.2.1 lub nowszej, która zawiera poprawkę eliminującą problem z cofaniem się wyrażenia regularnego.
Inne podatności w basic-ftp
Zobacz wszystkie- CVE-2026-44240Wysokie
Podatność w basic-ftp przed wersją 5.3.1 umożliwia atak typu denial of service po stronie klienta podczas parsowania wieloliniowych odpowiedzi kontrolnych FTP. Złośliwy serwer FTP może wysłać nieukończoną odpowiedź, co prowadzi do nadmiernego zużycia pamięci i CPU.
- CVE-2026-39983Wysokie
Biblioteka basic-ftp dla Node.js przed wersją 5.2.1 jest podatna na wstrzykiwanie komend FTP poprzez sekwencje CRLF w parametrach ścieżek plików. Atakujący może wykorzystać tę podatność do wykonania dowolnych komend FTP na serwerze.
Oryginalny opis (angielski, źródło NVD)
basic-ftp is an FTP client for Node.js. Prior to 6.2.1, Client.list() can be forced by a malicious or compromised FTP server to spend quadratic CPU time parsing a directory listing because the RE_LINE expression in src/parseListUnix.ts backtracks across adjacent variable-length owner and group fields when a long Unix-style line has a valid prefix but cannot satisfy the later size and date fields. parseList() selects a parser from the last nonblank line and then applies it to every line, so a normal final line can select the Unix parser while an earlier crafted line blocks the Node.js event loop and freezes the process. This issue is fixed in version 6.2.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS