CVE-2025-71319
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Biblioteka image-size w wersji 2.0.2 i wcześniejszych zawiera podatność na atak typu odmowa usługi (DoS). Zdalny atakujący może dostarczyć specjalnie spreparowany obraz z polem rozmiaru ustawionym na zero w rozpoznawanym typie kontenera, co powoduje nieskończoną pętlę w parserach JXL lub HEIF i trwałe zablokowanie pętli zdarzeń Node.js.
Ocena ryzyka
Atakujący może trwale zablokować działanie aplikacji Node.js wykorzystującej tę bibliotekę do przetwarzania obrazów, powodując niedostępność usługi dla użytkowników.
Rekomendacja
Należy zaktualizować bibliotekę image-size do wersji nowszej niż 2.0.2, w której podatność została załatana. Jeśli aktualizacja nie jest możliwa, należy wdrożyć walidację danych wejściowych przed przekazaniem ich do biblioteki.
Oryginalny opis (angielski, źródło NVD)
image-size through 2.0.2 contains a denial of service vulnerability that allows remote attackers to permanently block the Node.js event loop by supplying a specially crafted image buffer with a zero-valued size field in a recognized box-type. Attackers can trigger an infinite loop in the JXL or HEIF image parsers by providing a crafted image containing a box with a size of zero, causing the offset to never advance and permanently hanging the application.