← volver
CVE-2017-16026

CVE-2017-16026

EPSS 2.6%CWE-201
En resumen

Una vulnerabilidad en la biblioteca cliente HTTP Request permite que datos sensibles de la memoria del servidor se filtren al enviar archivos mediante solicitudes multipart con parámetros de cuerpo numéricos diseñados maliciosamente. Esto podría exponer contraseñas, tokens y otra información confidencial.

Detalle técnico

La vulnerabilidad CWE-201 (Exposición de Información) se manifiesta cuando solicitudes multipart con tipos de cuerpo numéricos causan que la biblioteca Request incluya memoria no inicializada en el cuerpo HTTP. Afecta las versiones 2.2.6 a 2.47.0 y 2.51.0 a 2.67.0, habilitando ataques de divulgación de memoria sin requerir autenticación más allá de la capacidad de disparar cargas multipart.

Resumen generado y traducido por IA a partir de la descripción oficial.
Request is an http client. If a request is made using ```multipart```, and the body type is a ```number```, then the specified number of non-zero memory is passed in the body. This affects Request >=2.2.6 <2.47.0 || >2.51.0 <=2.67.0.
Productos afectados
HackerOne · request node module

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →
Referencias
https://github.com/request/request/issues/1904https://github.com/request/request/pull/2018https://nodesecurity.io/advisories/309