CVE-2026-115728
WysokieCVSS 7.5Streszczenie
@hapi/content w wersjach od 6.0.1 do przed 6.0.3 zawiera podatność na atak typu regular expression denial of service w Content.disposition(), spowodowaną niepełną poprawką CVE-2026-35213. Nieuwierzytelniony zdalny napastnik może wysłać multipart upload z długim parametrem Content-Disposition bez znaku równości, wywołując kwadratowe cofanie i blokując pętlę zdarzeń.
Ocena ryzyka
Możliwe zablokowanie pętli zdarzeń serwera i odmowa usługi dla aplikacji korzystających z tej biblioteki.
Rekomendacja
Zaktualizuj @hapi/content do wersji 6.0.3 lub nowszej, która zawiera poprawkę tego problemu.
Inne podatności w @hapi/content
Zobacz wszystkie- CVE-2026-44974Wysokie
Podatność w bibliotece @hapi/content (wersje przed 6.0.2) dotycząca parsowania nagłówków HTTP Content-*. Różne traktowanie duplikatów parametrów może prowadzić do przemycania parametrów i ominięcia filtru nazw plików.
- CVE-2026-35213Wysokie
Biblioteka @hapi/content do wersji 6.0.0 włącznie jest podatna na atak Regular Expression Denial of Service (ReDoS) poprzez spreparowane wartości nagłówków HTTP. Trzy wyrażenia regularne używane do parsowania nagłówków Content-Type i Content-Disposition zawierają wzorce podatne na katastroficzne cofanie się.
Oryginalny opis (angielski, źródło NVD)
@hapi/content from 6.0.1 before 6.0.3 contains a regular expression denial of service vulnerability in Content.disposition() caused by an incomplete fix for CVE-2026-35213. Unauthenticated remote attackers can send multipart uploads with a long Content-Disposition parameter lacking an equals sign, triggering quadratic backtracking that blocks the event loop.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS