CVE-2017-16137

ŚrednieCVSS 5.3

Opublikowano: 07/06/2018(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

2.83%

Percentyl 86 - wyżej niż 86% wszystkich znanych CVE

Streszczenie

Moduł debug jest podatny na atak typu regular expression denial of service (ReDoS), gdy niezaufane dane wejściowe użytkownika są przekazywane do formatera o. Około 50 000 znaków może zablokować działanie na 2 sekundy, co czyni tę podatność o niskiej wadze.

Ocena ryzyka

Atakujący może zdalnie spowodować chwilowe zawieszenie aplikacji poprzez wysłanie specjalnie spreparowanego wejścia, co może prowadzić do częściowej niedostępności usługi.

Rekomendacja

Zaktualizuj moduł debug do wersji, która naprawia tę podatność, lub unikaj przekazywania niezaufanych danych do formatera o.

Inne podatności w debug

CVE-2025-59144Wysokie
debug to narzędzie do debugowania JavaScript. 8 września 2025 r. konto publikacyjne npm dla debug zostało przejęte po ataku phishingowym. Opublikowano wersję 4.4.2, funkcjonalnie identyczną z poprzednią wersją poprawkową, ale z dodanym złośliwym ładunkiem próbującym przekierować transakcje kryptowalutowe na adresy atakującego w środowiskach przeglądarki. Środowiska lokalne, serwerowe, aplikacje wiersza poleceń itp. nie są dotknięte. Jeśli pakiet był używany w kontekście przeglądarki, istnieje ryzyko, że złośliwe oprogramowanie nadal istnieje i takie bundle będą wymagały przebudowy. npm usunął pakiet z rejestru, a właściciel opublikował nowe wersje poprawkowe. Użytkownicy powinni uaktualnić do najnowszej wersji poprawkowej, całkowicie usunąć katalog node_modules, wyczyścić globalną pamięć podręczną menedżera pakietów i przebudować bundle przeglądarki od zera.

Oryginalny opis (angielski, źródło NVD)

The debug module is vulnerable to regular expression denial of service when untrusted user input is passed into the o formatter. It takes around 50k characters to block for 2 seconds making this a low severity issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS