CVE-2025-25290
Açıklama
@octokit/request, tarayıcılarda ve Node'da makul varsayılanlarla GitHub API'lerine parametreli istekler gönderir. 1.0.0 sürümünden itibaren ve 9.2.1 ile 8.4.1 sürümlerinden önce, HTTP yanıtlarındaki `link` başlığını eşleştirmek için kullanılan `/<([^>]+)>; rel="deprecation"/` düzenli ifadesi bir ReDoS (Düzenli İfade Hizmet Reddi) saldırısına karşı savunmasızdır. Bu güvenlik açığı, düzenli ifadenin eşleştirme davranışının sınırsız olması nedeniyle ortaya çıkar ve özel olarak hazırlanmış girdilerin işlenmesi sırasında felaket düzeyinde geri izlemeye yol açabilir. Bir saldırgan, kötü niyetli bir `link` başlığı göndererek bu kusuru istismar edebilir; bu da aşırı CPU kullanımına ve potansiyel olarak sunucunun yanıt veremez hale gelmesine neden olarak hizmet kullanılabilirliğini etkileyebilir. 9.2.1 ve 8.4.1 sürümleri bu sorunu düzeltir.
Nasıl düzeltilir
- @octokit/request9.2.1, 8.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @octokit/requestnpm | 9.0.0-beta.1 ≤ v < 9.2.1, 1.0.0 ≤ v < 8.4.1 | 9.2.1, 8.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.