CVE-2022-25883: fallo de gravedad media en semver
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
El paquete semver anterior a la versión 7.5.2 tiene una falla que permite causar bloqueo o fallo al procesar cadenas malformadas de rango de versión. Un atacante puede aprovechar esto enviando entradas especialmente elaboradas para provocar una denegación de servicio.
Existe una vulnerabilidad ReDoS en el constructor Range de semver <7.5.2, explotable mediante cadenas de rango no confiables que provocan retroceso excesivo en la evaluación de expresiones regulares. La vulnerabilidad requiere que el código de la aplicación procese parámetros de rango controlados por el atacante, lo que resulta en agotamiento de CPU e indisponibilidad del servicio.