Hoch

Insecure randomness in socket.io

Veröffentlicht: 07.11.2018
Aktualisiert: 11.10.2026 10:22

Affected versions of socket.io depend on Math.random() to create socket IDs, and therefore the IDs are predictable. With enough information on prior IDs, an attacker may be able to guess the socket ID and gain access to socket.io servers without authorization.

Recommendation

Update to v0.9.7 or later.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	socket.io	< 0.9.7	0.9.7

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE): CWE-330
Plattform: npm
Paket: socket.io
Veröffentlicht: 07.11.2018
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-qv2v-m59f-v5fw - CC BY 4.0

Schwachstellenhistorie: socket.io

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 3
Erste → letzte: 11.2018 06.2024
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 2

Veröffentlichungen pro Jahr

2018: 1
2019: 0
2020: 0
2021: 1
2022: 0
2023: 0
2024: 1
2025: 0
2026: 0

19.06.2024

socket.io has an unhandled 'error' event

Mittel · 7.3 CVE-2024-38355 < 2.5.1, >= 3.0.0, < 4.6.2 2.5.1, 4.6.2
20.01.2021

CORS misconfiguration in socket.io

Mittel · 4.3 CVE-2020-28481 < 2.4.0 2.4.0
07.11.2018

Insecure randomness in socket.io dieser Eintrag

Hoch · 7.5 CVE-2017-16031 < 0.9.7 0.9.7

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden