CVE-2026-104150
WysokieCVSS 8.7Streszczenie
AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.2 i 9.1.1 wyrażenie regularne zwracane przez router.matchers.slug() zawiera sąsiadujące zachłanne powtórzenia z nakładającymi się klasami znaków. Gdy aplikacja stosuje ten matcher do kontrolowanego przez atakującego parametru trasy, długi slug kończący się znakiem odrzuconym przez końcową asercję powoduje kwadratowe cofanie i nadmierne zużycie CPU.
Ocena ryzyka
Dopasowanie tras odbywa się przed middleware, więc nieuwierzytelnione żądanie może zablokować pętlę zdarzeń Node.js i uniemożliwić obsługę innych żądań lub health checków.
Rekomendacja
Zaktualizuj AdonisJS HTTP Server do wersji 8.2.2 lub 9.1.1 (lub nowszej).
Inne podatności w AdonisJS HTTP Server
Zobacz wszystkie- CVE-2026-107718Średnie
AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.3 i 9.3.0, AdonisJS HTTP Server wstawia wartości parametrów trasy do adresów URL bez encodeURIComponent w wspólnym helperze createURL() używanym przez Router.makeUrl() i Response.redirect().toRoute(). Jeśli aplikacja umieszcza dane kontrolowane przez atakującego w dynamicznym pierwszym segmencie ścieżki i używa wygenerowanego adresu URL trasy jako celu przekierowania, wartość zaczynająca się od ukośnika może wyprodukować zewnętrzny URL względny do schematu. Parametry wieloznaczne są dotknięte tym samym brakiem kodowania, podczas gdy API celowo akceptujące pełne adresy URL przekierowań nie są dotknięte. Atakujący może przekierować użytkowników z zaufanej aplikacji na witrynę kontrolowaną przez atakującego, ułatwiając phishing lub nadużycie przepływów uwierzytelniania i OAuth. Ten problem został naprawiony w wersjach 8.2.3 i 9.3.0.
- CVE-2026-61526Średnie
Serwer HTTP AdonisJS w wersjach 8.0.0-next.0 do 8.2.0 oraz 9.0.0 do 9.0.2 interpoluje error.message do domyślnej odpowiedzi HTML bez escapowania. Pozwala to na wykonanie kodu JavaScript kontrolowanego przez atakującego, gdy ofiara otworzy spreparowany URL prowadzący do brakującej trasy, a żadna niestandardowa strona statusu ani odpowiedź JSON nie obsługuje błędu.
Oryginalny opis (angielski, źródło NVD)
AdonisJS HTTP Server is a package for handling HTTP requests in the AdonisJS framework. Prior to 8.2.2 and 9.1.1, the regular expression returned by router.matchers.slug() contains adjacent greedy repetitions with overlapping character classes. When an application applies this matcher to an attacker-controlled route parameter, a long slug ending in a character rejected by the final assertion causes quadratic backtracking and excessive CPU use. Route matching occurs before route and group middleware, so authentication or rate-limiting middleware attached to the route may not prevent an unauthenticated request from blocking the Node.js event loop and stopping the worker from serving unrelated requests or health checks. This issue is fixed in versions 8.2.2 and 9.1.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS