Niska

Regular Expression Denial of Service (ReDoS) in jsx-slack

Ujawniono: 17.12.2021
Aktualizacja: 11.10.2026 10:22

jsx-slack v4.5.1 and earlier versions are vulnerable to a regular expression denial-of-service (ReDoS) attack.

Impact

If attacker can put a lot of JSX elements into <blockquote> tag, an internal regular expression for escaping characters may consume an excessive amount of computing resources.

/** @jsxImportSource jsx-slack */
import { Section } from 'jsx-slack'

console.log(
  <Section>
    <blockquote>
      {[...Array(40)].map((_, i) => (
        <p>{i + 1}</p>
      ))}
    </blockquote>
  </Section>
)

Patches

jsx-slack v4.5.2 has updated regular expressions to prevent catastrophic backtracking.

jsx-slack v4.5.1 also had patched a workaround. It has no problems to contents with ASCII characters, but still vulnerable to contents with multibyte characters. (https://github.com/yhatt/jsx-slack/commit/36e4a10405e4c7745333e245fcc5029c02c7065d)

References

Credits

Thanks to @hieki for finding out this vulnerability.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	jsx-slack	< 4.5.1	4.5.1

Odnośniki

Ocena CVSS 3.7/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
Słabość (CWE): CWE-1333, CWE-400
Platforma: npm
Paczka: jsx-slack
Ujawniono: 17.12.2021
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-55xv-f85c-248q - CC BY 4.0

Historia podatności: jsx-slack

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 12.2021 01.2022
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 1
Niska 1

Ujawnienia w latach

2021: 1
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

06.01.2022

jsx-slack insufficient patch for CVE-2021-43838 ReDoS

Średnia · 5.3 CVE-2021-43843 < 4.5.2 4.5.2
17.12.2021

Regular Expression Denial of Service (ReDoS) in jsx-slack ten wpis

Niska · 3.7 CVE-2021-43838 < 4.5.1 4.5.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację