CVE-2026-45736

ŚrednieCVSS 4.4

Opublikowano: 15/05/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.75%

Percentyl 52 - wyżej niż 52% wszystkich znanych CVE

Streszczenie

Biblioteka WebSocket 'ws' dla Node.js przed wersją 8.20.1 ma podatność na ujawnienie niezainicjalizowanej pamięci przy zamykaniu połączenia z TypedArray jako argumentem reason.

Ocena ryzyka

Atakujący może odczytać fragmenty pamięci serwera, potencjalnie ujawniając wrażliwe dane.

Rekomendacja

Zaktualizuj bibliotekę 'ws' do wersji 8.20.1 lub nowszej.

Inne podatności w ws

CVE-2026-48779Wysokie
Biblioteka WebSocket 'ws' dla Node.js jest podatna na atak DoS polegający na wyczerpaniu pamięci. Atakujący może wysłać wiele bardzo małych fragmentów danych, co zmusza serwer do alokowania struktur opakowujących, które zużywają znacznie więcej pamięci niż domyślny limit rozmiaru wiadomości, prowadząc do przerwania procesu z powodu braku pamięci (OOM).

Oryginalny opis (angielski, źródło NVD)

ws is an open source WebSocket client and server for Node.js. Prior to 8.20.1, the websocket.close() implementation is vulnerable to uninitialized memory disclosure when a TypedArray is passed as the reason argument. This vulnerability is fixed in 8.20.1.