Podatności @hapi/content

Biblioteka @hapi/content w wersjach od 3.0.6 do 6.0.3 używa niezakotwiczonego wyrażenia nazwy parametru w globalnym skanowaniu wyrażeń regularnych, co powoduje powtarzające się nieudane dopasowania przy długim tokenie bez znaku równości w nagłówku Content-Disposition. Powstałe przetwarzanie kwadratowe może zablokować pętlę zdarzeń Node.js przed obsługą tras, w tym na nieuwierzytelnionych trasach hapi z włączonym payload.multipart.

@hapi/content w wersjach od 6.0.1 do przed 6.0.3 zawiera podatność na atak typu regular expression denial of service w Content.disposition(), spowodowaną niepełną poprawką CVE-2026-35213. Nieuwierzytelniony zdalny napastnik może wysłać multipart upload z długim parametrem Content-Disposition bez znaku równości, wywołując kwadratowe cofanie i blokując pętlę zdarzeń.

Podatność w bibliotece @hapi/content (wersje przed 6.0.2) dotycząca parsowania nagłówków HTTP Content-*. Różne traktowanie duplikatów parametrów może prowadzić do przemycania parametrów i ominięcia filtru nazw plików.

Biblioteka @hapi/content do wersji 6.0.0 włącznie jest podatna na atak Regular Expression Denial of Service (ReDoS) poprzez spreparowane wartości nagłówków HTTP. Trzy wyrażenia regularne używane do parsowania nagłówków Content-Type i Content-Disposition zawierają wzorce podatne na katastroficzne cofanie się.