CVE-2017-16021
Açıklama
uri-js, RFC 3986'yı tam olarak uygulamaya çalışan bir modüldür. Bu özelliklerden biri, sağlanan bir URL'nin geçerli olup olmadığını doğrulamaktır. Bunu yapmak için uri-js bir düzenli ifade (regular expression) kullanır; bu düzenli ifade ReDoS saldırılarına karşı savunmasızdır. Bu durum, uri-js sağlanan URL'nin geçerliliğini doğrulamaya çalışırken programın donmasına ve CPU'nun %100 kullanımda kalmasına neden olur. Savunmasız olup olmadığınızı kontrol etmek için, bir kullanıcının kendi girdisini gönderebildiği `require("uri-js").parse()` çağrılarını inceleyin. Bu durum uri-js 2.1.1 ve önceki sürümleri etkilemektedir.
Nasıl düzeltilir
- uri-js3.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| garycourt uri-js | v ≤ 2.1.1 | — |
| uri-jsnpm | v < 3.0.0 | 3.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.