Fallos del tipo CWE-1333

413 resultados

Expressão regular com complexidade exponencial (ReDoS)

A aplicação usa uma regex mal construída que, em casos adversários, força o mecanismo de busca a testar um número exponencial de combinações antes de decidir se há match. Isso consome CPU descontroladamente e pode derrubar a aplicação com um padrão de entrada pequeno e cuidadosamente crafted.

Ejemplo

Um formulário valida email com regex como `(a+)+b`. Se você enviar uma string com muitos 'a's e nenhum 'b' no final, o mecanismo tenta todas as formas possíveis de agrupar aqueles 'a's antes de falhar, gastando segundos ou minutos em uma entrada de 30 caracteres.

Cómo mitigar

Evite quantificadores aninhados (tipo `(x+)+`, `(x*)*`), use âncoras e alternativas específicas, e defina timeouts para execução de regex. Teste com ferramentas como regex101 ou Regex Tester e considere parsing estruturado em vez de regex quando possível.

CVE-2022-23514HIGHInefficient Regular Expression Complexity in LoofahEPSS 1.7%CVE-2022-42969MEDIUMThe py library through 1.11.0 for Python allows remote attackers to conduct a ReDoS (Regular expression Denial of Service) attack via a SubvEPSS 1.7%CVE-2022-25881MEDIUMThis affects versions of the package http-cache-semantics before 4.1.1. The issue can be exploited via malicious request header values sent EPSS 1.6%CVE-2021-35065HIGHThe glob-parent package before 6.0.1 for Node.js allows ReDoS (regular expression denial of service) attacks against the enclosure regular eEPSS 1.6%CVE-2021-43307MEDIUMExponential ReDoS in semver-regexEPSS 1.6%CVE-2023-36543—Apache Airflow: ReDoS via dags functionEPSS 1.6%CVE-2022-25901MEDIUMVersions of the package cookiejar before 2.1.4 are vulnerable to Regular Expression Denial of Service (ReDoS) via the Cookie.parse function,EPSS 1.5%CVE-2022-21222MEDIUMRegular Expression Denial of Service (ReDoS)EPSS 1.5%CVE-2021-43306MEDIUMExponential ReDoS in jquery-validationEPSS 1.5%CVE-2024-26142HIGHRails possible ReDoS vulnerability in Accept header parsing in Action DispatchEPSS 1.5%CVE-2021-3842HIGHInefficient Regular Expression Complexity in nltk/nltkEPSS 1.5%CVE-2021-3795HIGHInefficient Regular Expression Complexity in sindresorhus/semver-regexEPSS 1.5%CVE-2022-23517HIGHInefficient Regular Expression Complexity in rails-html-sanitizerEPSS 1.5%CVE-2024-4067MEDIUMRegular Expression Denial of Service in micromatchEPSS 1.4%CVE-2022-36064MEDIUMShescape Inefficient Regular Expression Complexity vulnerabilityEPSS 1.4%CVE-2024-49761MEDIUMREXML ReDoS vulnerabilityEPSS 1.4%CVE-2021-3822MEDIUMInefficient Regular Expression Complexity in josdejong/jsoneditorEPSS 1.4%CVE-2021-43805HIGHReDos vulnerability on guest checkout email validationEPSS 1.4%CVE-2020-36649LOWmholt PapaParse papaparse.js redosEPSS 1.4%CVE-2024-3651MEDIUMDenial of Service via Quadratic Complexity in kjd/idnaEPSS 1.4%