CVE-2026-44974

WysokieCVSS 7.7

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece @hapi/content (wersje przed 6.0.2) dotycząca parsowania nagłówków HTTP Content-*. Różne traktowanie duplikatów parametrów może prowadzić do przemycania parametrów i ominięcia filtru nazw plików.

Ocena ryzyka

Atakujący może ominąć listę dozwolonych nazw plików w nagłówkach takich jak Content-Disposition, co może prowadzić do wgrania złośliwego pliku.

Rekomendacja

Zaktualizuj @hapi/content do wersji 6.0.2 lub nowszej. Sprawdź, czy inne komponenty w łańcuchu przetwarzania nie są podatne na podobne ataki.

Inne podatności w @hapi/content

CVE-2026-35213Wysokie
Biblioteka @hapi/content do wersji 6.0.0 włącznie jest podatna na atak Regular Expression Denial of Service (ReDoS) poprzez spreparowane wartości nagłówków HTTP. Trzy wyrażenia regularne używane do parsowania nagłówków Content-Type i Content-Disposition zawierają wzorce podatne na katastroficzne cofanie się.

Oryginalny opis (angielski, źródło NVD)

@hapi/content provided HTTP Content-* headers parsing. Prior to 6.0.2, Content.disposition() retained the last occurrence of each duplicate parameter while Content.type() retained the first occurrence of duplicate charset and boundary parameters, creating a parameter-smuggling primitive when another component in the request-processing chain resolves duplicates the opposite way. This can allow an upload filename allowlist bypass in headers such as Content-Disposition: form-data; name="file"; filename="safe.txt"; filename="shell.php". This issue is fixed in version 6.0.2.