Mittel

UAParser.js: Unbounded `Sec-CH-UA-Model` parsing can trigger ReDoS in `withClientHints()`

Veröffentlicht: 15.06.2026
Aktualisiert: 11.10.2026 10:22

Summary

A regular expression denial-of-service (ReDoS) vulnerability has been discovered in ua-parser-js when using the Client Hints API. By sending a crafted Sec-CH-UA-Model header to an application that calls UAParser(headers).withClientHints(), an attacker can cause the parser to spend excessive CPU time due to catastrophic backtracking in the device regex:

/ ([\w ]+) miui\/v?\d/i

Unlike when using the User-Agent value, which has a hard limit of UA_MAX_LENGTH = 500, when using Client Hints, values are copied without a length limit before being passed into regex parsing.

PoC

const { UAParser } = require('ua-parser-js');

const headers = {
  'sec-ch-ua-platform': '"Android"',
  'sec-ch-ua-mobile': '?1',
  'sec-ch-ua-model': '"' + 'A '.repeat(25000) + '"'
};

const t0 = process.hrtime.bigint();
UAParser(headers).withClientHints();
const ms = Number(process.hrtime.bigint() - t0) / 1e6;

if (ms > 100) {
  console.log('Potential ReDoS');
}

Impact

This vulnerability allows an unauthenticated attacker to trigger a denial-of-service condition in any server-side application that uses UAParser(headers).withClientHints(). A single request with a ~32,000-character model value can consume over 400ms of CPU time, with parsing time growing polynomially with input length. The impact is availability only, there is no confidentiality or integrity impact.

Affected Versions

ua-parser-js versions >=2.0.1, <=2.0.9 are affected. The withClientHints() API is not present in version 0.7.x or 1.x.

Patches

A patch has been released to fix the vulnerable regular expression and limit the Client Hints input. Users should update to version 2.0.10 or later.

References

Regular expression Denial of Service - ReDoS (OWASP)

Credits

Thanks to @sondt99, who first reported the issue.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	ua-parser-js	>= 2.0.1, < 2.0.10	2.0.10

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Schwäche (CWE): CWE-1333, CWE-400
Plattform: npm
Paket: ua-parser-js
Veröffentlicht: 15.06.2026
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-9h5v-pfqq-x599 - CC BY 4.0

Schwachstellenhistorie: ua-parser-js

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 6
Erste → letzte: 05.2021 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 5
Mittel 1

Veröffentlichungen pro Jahr

2021: 3
2022: 1
2023: 1
2024: 0
2025: 0
2026: 1

15.06.2026

UAParser.js: Unbounded `Sec-CH-UA-Model` parsing can trigger ReDoS in `withClientHints()` dieser Eintrag

Mittel · 5.3 CVE-2026-48125 >= 2.0.1, < 2.0.10 2.0.10
24.01.2023

ReDoS Vulnerability in ua-parser-js version

Hoch · 7.5 CVE-2022-25927 >= 0.7.30, < 0.7.33, >= 0.8.0, < 1.0.33 0.7.33, 1.0.33
09.02.2022

ua-parser-js Regular Expression Denial of Service vulnerability

Hoch · 7.5 CVE-2020-7793 < 0.7.23 0.7.23
22.10.2021

Embedded malware in ua-parser-js

Hoch · 8.8 CVE-2021-4229 >= 0.7.29, < 0.7.30, >= 0.8.0, < 0.8.1, >= 1.0.0, < 1.0.1 0.7.30, 0.8.1, 1.0.1
07.05.2021

Regular Expression Denial of Service in ua-parser-js

Hoch · 7.5 CVE-2020-7733 < 0.7.22 0.7.22
06.05.2021

Regular Expression Denial of Service (ReDoS) in ua-parser-js

Hoch · 7.5 CVE-2021-27292 >= 0.7.14, < 0.7.24 0.7.24

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden