CVE-2026-35213

WysokieCVSS 7.5

Opublikowano: 06/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

Biblioteka @hapi/content do wersji 6.0.0 włącznie jest podatna na atak Regular Expression Denial of Service (ReDoS) poprzez spreparowane wartości nagłówków HTTP. Trzy wyrażenia regularne używane do parsowania nagłówków Content-Type i Content-Disposition zawierają wzorce podatne na katastroficzne cofanie się.

Ocena ryzyka

Atakujący może zdalnie spowodować przeciążenie procesora serwera poprzez wysłanie specjalnie spreparowanych nagłówków HTTP, prowadząc do odmowy usługi.

Rekomendacja

Zaktualizuj bibliotekę @hapi/content do wersji 6.0.1, która zawiera poprawkę.

Inne podatności w @hapi/content

CVE-2026-44974Wysokie
Podatność w bibliotece @hapi/content (wersje przed 6.0.2) dotycząca parsowania nagłówków HTTP Content-*. Różne traktowanie duplikatów parametrów może prowadzić do przemycania parametrów i ominięcia filtru nazw plików.

Oryginalny opis (angielski, źródło NVD)

@hapi/content provided HTTP Content-* headers parsing. All versions of @hapi/content through 6.0.0 are vulnerable to Regular Expression Denial of Service (ReDoS) via crafted HTTP header values. Three regular expressions used to parse Content-Type and Content-Disposition headers contain patterns susceptible to catastrophic backtracking. This vulnerability is fixed in 6.0.1.