Media

jsx-slack insufficient patch for CVE-2021-43838 ReDoS

Publicada: 06.01.2022
Actualizado: 11.10.2026 10:22

We found the patch for CVE-2021-43838 in jsx-slack v4.5.1 is insufficient to save from Regular Expression Denial of Service (ReDoS) attack.

This vulnerability affects to jsx-slack v4.5.1 and earlier versions.

Impact

If attacker can put a lot of JSX elements into <blockquote> tag with including multibyte characters, an internal regular expression for escaping characters may consume an excessive amount of computing resources.

/** @jsxImportSource jsx-slack */
import { Section } from 'jsx-slack'

console.log(
  <Section>
    <blockquote>
      {[...Array(40)].map(() => (
        <p>亜</p>
      ))}
    </blockquote>
  </Section>
)

v4.5.1 has released by passing the test against ASCII characters but missed the case of multibyte characters. https://github.com/yhatt/jsx-slack/security/advisories/GHSA-55xv-f85c-248q

Patches

jsx-slack v4.5.2 has updated regular expressions for escaping blockquote characters to prevent catastrophic backtracking. It is also including an updated test case to confirm rendering multiple tags in <blockquote> with multibyte characters.

References

https://github.com/yhatt/jsx-slack/commit/46bc88391d89d5fda4ce689e18ca080bcdd29ecc

Credits

Thanks to @hieki for finding out this vulnerability.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	jsx-slack	< 4.5.2	4.5.2

Referencias

Puntuación CVSS 5.3/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Debilidad (CWE): CWE-400
Plataforma: npm
Paquete: jsx-slack
Publicada: 06.01.2022
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-hp68-xhvj-x6j6 - CC BY 4.0

Historial de vulnerabilidades: jsx-slack

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 12.2021 01.2022
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Media 1
Baja 1

Divulgaciones por año

2021: 1
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

06.01.2022

jsx-slack insufficient patch for CVE-2021-43838 ReDoS esta entrada

Media · 5.3 CVE-2021-43843 < 4.5.2 4.5.2
17.12.2021

Regular Expression Denial of Service (ReDoS) in jsx-slack

Baja · 3.7 CVE-2021-43838 < 4.5.1 4.5.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación