CVE-2022-25883: falha de média gravidade em semver
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O pacote semver anterior à versão 7.5.2 possui uma falha que permite causar travamento ou falha ao processar strings malformadas de intervalo de versão. Um atacante pode explorar isso enviando entradas especialmente elaboradas para causar negação de serviço.
Uma vulnerabilidade de ReDoS existe no construtor Range do semver <7.5.2, explorável através de strings de intervalo não confiáveis que provocam retrocesso excessivo na avaliação de expressões regulares. A vulnerabilidade requer que o código da aplicação processe parâmetros de intervalo controlados por atacante, resultando em esgotamento de CPU e indisponibilidade do serviço.