CVE-2020-26256
Açıklama
Fast-csv, node üzerinde CSV'leri veya herhangi bir sınırlayıcı değerli dosyayı ayrıştırmak ve biçimlendirmek için kullanılan bir npm paketidir. Fast-csv'nin 4.3.6 sürümünden önceki versiyonlarında, ayrıştırma sırasında ignoreEmpty seçeneği kullanıldığında olası bir ReDoS (Düzenli İfade Hizmet Reddi) zafiyeti bulunmaktadır. Bu durum `v4.3.6` sürümünde düzeltilmiştir. Bu durumdan yalnızca `ignoreEmpty` ayrıştırma seçeneğini kullandığınızda etkilenirsiniz. Eğer bu seçeneği kullanıyorsanız, en güncel sürüm olan `v4.3.6` sürümüne yükseltmeniz önerilir. Bu zafiyet, `EMPTY_ROW_REGEXP` düzenli ifadesinin savunmasız olduğunu tespit eden bir CodeQL sorgusu kullanılarak bulunmuştur.
Nasıl düzeltilir
- c2fo fast-csv4.3.6 ya da sonraki bir sürüm
- fast-csv4.3.6 ya da sonraki bir sürüm
- @fast-csv/parse4.3.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| c2fo fast-csv | v < 4.3.6 | 4.3.6 |
| fast-csvnpm | v < 4.3.6 | 4.3.6 |
| @fast-csv/parsenpm | v < 4.3.6 | 4.3.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.