CVE-2022-32213CWE-444

CVE-2022-32213: falha em NodeJS Node

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Node.js+ Monitorar nodejs

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

15Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 45%
Em resumo

Versões do Node.js anteriores a 14.20.1, 16.17.1 e 18.9.1 possuem uma falha na forma como analisam cabeçalhos Transfer-Encoding, permitindo que atacantes contornem filtros de segurança ao inserir requisições maliciosas disfarçadas.

Detalhe técnico

O parser llhttp no módulo http do Node.js não valida corretamente os cabeçalhos Transfer-Encoding, possibilitando ataques de HTTP Request Smuggling. Um atacante pode criar requisições especialmente formatadas com valores ambíguos de Transfer-Encoding para contornar filtros de segurança, potencialmente acessando serviços backend não autorizados ou envenenando caches. A vulnerabilidade afeta versões anteriores a 14.20.1, 16.17.1 e 18.9.1.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not correctly parse and validate Transfer-Encoding headers and can lead to HTTP Request Smuggling (HRS).
Produtos afetados
NodeJS · Node
CVEs relacionadas — NodeJS Node

No mesmo produto, das mais perigosas para as menos.

CVE-2024-27983HIGHCVE-2024-27983EPSS 87.2%CVE-2022-32214—CVE-2022-32214EPSS 81.8%CVE-2021-22883—CVE-2021-22883EPSS 77.4%CVE-2022-32215—CVE-2022-32215EPSS 70.2%CVE-2019-15605—CVE-2019-15605EPSS 57.1%CVE-2020-8277—CVE-2020-8277EPSS 54.2%