Baja

Regular Expression Denial of Service (ReDoS) in jsx-slack

Publicada: 17.12.2021
Actualizado: 11.10.2026 10:22

jsx-slack v4.5.1 and earlier versions are vulnerable to a regular expression denial-of-service (ReDoS) attack.

Impact

If attacker can put a lot of JSX elements into <blockquote> tag, an internal regular expression for escaping characters may consume an excessive amount of computing resources.

/** @jsxImportSource jsx-slack */
import { Section } from 'jsx-slack'

console.log(
  <Section>
    <blockquote>
      {[...Array(40)].map((_, i) => (
        <p>{i + 1}</p>
      ))}
    </blockquote>
  </Section>
)

Patches

jsx-slack v4.5.2 has updated regular expressions to prevent catastrophic backtracking.

jsx-slack v4.5.1 also had patched a workaround. It has no problems to contents with ASCII characters, but still vulnerable to contents with multibyte characters. (https://github.com/yhatt/jsx-slack/commit/36e4a10405e4c7745333e245fcc5029c02c7065d)

References

Credits

Thanks to @hieki for finding out this vulnerability.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	jsx-slack	< 4.5.1	4.5.1

Referencias

Puntuación CVSS 3.7/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
Debilidad (CWE): CWE-1333, CWE-400
Plataforma: npm
Paquete: jsx-slack
Publicada: 17.12.2021
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-55xv-f85c-248q - CC BY 4.0

Historial de vulnerabilidades: jsx-slack

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 12.2021 01.2022
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Media 1
Baja 1

Divulgaciones por año

2021: 1
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

06.01.2022

jsx-slack insufficient patch for CVE-2021-43838 ReDoS

Media · 5.3 CVE-2021-43843 < 4.5.2 4.5.2
17.12.2021

Regular Expression Denial of Service (ReDoS) in jsx-slack esta entrada

Baja · 3.7 CVE-2021-43838 < 4.5.1 4.5.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación