CVE-2026-44974
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece @hapi/content (wersje przed 6.0.2) dotycząca parsowania nagłówków HTTP Content-*. Różne traktowanie duplikatów parametrów może prowadzić do przemycania parametrów i ominięcia filtru nazw plików.
Ocena ryzyka
Atakujący może ominąć listę dozwolonych nazw plików w nagłówkach takich jak Content-Disposition, co może prowadzić do wgrania złośliwego pliku.
Rekomendacja
Zaktualizuj @hapi/content do wersji 6.0.2 lub nowszej. Sprawdź, czy inne komponenty w łańcuchu przetwarzania nie są podatne na podobne ataki.
Inne podatności w @hapi/content
Zobacz wszystkie- CVE-2026-115728Wysokie
@hapi/content w wersjach od 6.0.1 do przed 6.0.3 zawiera podatność na atak typu regular expression denial of service w Content.disposition(), spowodowaną niepełną poprawką CVE-2026-35213. Nieuwierzytelniony zdalny napastnik może wysłać multipart upload z długim parametrem Content-Disposition bez znaku równości, wywołując kwadratowe cofanie i blokując pętlę zdarzeń.
- CVE-2026-35213Wysokie
Biblioteka @hapi/content do wersji 6.0.0 włącznie jest podatna na atak Regular Expression Denial of Service (ReDoS) poprzez spreparowane wartości nagłówków HTTP. Trzy wyrażenia regularne używane do parsowania nagłówków Content-Type i Content-Disposition zawierają wzorce podatne na katastroficzne cofanie się.
Oryginalny opis (angielski, źródło NVD)
@hapi/content provided HTTP Content-* headers parsing. Prior to 6.0.2, Content.disposition() retained the last occurrence of each duplicate parameter while Content.type() retained the first occurrence of duplicate charset and boundary parameters, creating a parameter-smuggling primitive when another component in the request-processing chain resolves duplicates the opposite way. This can allow an upload filename allowlist bypass in headers such as Content-Disposition: form-data; name="file"; filename="safe.txt"; filename="shell.php". This issue is fixed in version 6.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS