CVE-2025-25290
Təsvir
@octokit/request brauzerlərdə və Node-da məntiqli standartlarla GitHub API-lərinə parametrləşdirilmiş sorğular göndərir. Versiya 1.0.0-dan başlayaraq və versiyalar 9.2.1 və 8.4.1-dən əvvəlki versiyalarda, HTTP cavablarındakı `link` başlığını uyğunlaşdırmaq üçün istifadə olunan `/<([^>]+)>; rel="deprecation"/` müntəzəm ifadəsi ReDoS (Müntəzəm İfadə vasitəsilə Xidmətdən İmtina) hücumuna qarşı həssasdır. Bu zəiflik, müntəzəm ifadənin uyğunlaşdırma davranışının məhdudiyyətsizliyindən qaynaqlanır ki, bu da xüsusi hazırlanmış giriş məlumatlarını emal edərkən katastrofik geri qayıtmaya (catastrophic backtracking) səbəb ola bilər. Hücumçu bədniyyətli `link` başlığı göndərməklə bu boşluqdan istifadə edə bilər ki, bu da CPU-nun həddindən artıq istifadəsinə və potensial olaraq serverin cavabsız qalmasına səbəb olaraq xidmətin əlçatanlığına təsir göstərə bilər. Versiyalar 9.2.1 və 8.4.1 bu problemi aradan qaldırır.
Necə düzəltmək olar
- @octokit/request9.2.1, 8.4.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @octokit/requestnpm | 9.0.0-beta.1 ≤ v < 9.2.1, 1.0.0 ≤ v < 8.4.1 | 9.2.1, 8.4.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.