Alta

Denial of service in http-proxy-middleware

Publicada: 19.10.2024
Actualizado: 11.10.2026 10:22

Versions of the package http-proxy-middleware before 2.0.7, from 3.0.0 and before 3.0.3 are vulnerable to Denial of Service (DoS) due to an UnhandledPromiseRejection error thrown by micromatch. An attacker could kill the Node.js process and crash the server by making requests to certain paths.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	http-proxy-middleware	< 2.0.7, >= 3.0.0, < 3.0.3	2.0.7, 3.0.3

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad (CWE): CWE-400
Plataforma: npm
Paquete: http-proxy-middleware
Publicada: 19.10.2024
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-c7qv-q95q-8v27 - CC BY 4.0

Historial de vulnerabilidades: http-proxy-middleware

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 10.2024 06.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 2
Media 3

Divulgaciones por año

2024: 1
2025: 2
2026: 2

18.06.2026

http-proxy-middleware: multipart/form-data field injection via unescaped CRLF in `fixRequestBody`

Alta · 7.5 CVE-2026-55603 >= 3.0.4, < 3.0.7, >= 4.0.0, < 4.1.1 3.0.7, 4.1.1
18.06.2026

http-proxy-middleware `router` host+path substring matching allows Host-header-driven backend routing bypass

Media CVE-2026-55602 >= 3.0.0, < 3.0.6, >= 4.0.0, < 4.1.0, >= 0.16.0, < 2.0.10 3.0.6, 4.1.0, 2.0.10
15.04.2025

http-proxy-middleware allows fixRequestBody to proceed even if bodyParser has failed

Media · 4.0 CVE-2025-32997 >= 1.3.0, < 2.0.9, >= 3.0.0, < 3.0.5 2.0.9, 3.0.5
15.04.2025

http-proxy-middleware can call writeBody twice because "else if" is not used

Media · 4.0 CVE-2025-32996 >= 1.3.0, < 2.0.8, >= 3.0.0, < 3.0.4 2.0.8, 3.0.4
19.10.2024

Denial of service in http-proxy-middleware esta entrada

Alta · 7.5 CVE-2024-21536 < 2.0.7, >= 3.0.0, < 3.0.3 2.0.7, 3.0.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación