Mittel

cookiejar Regular Expression Denial of Service via Cookie.parse function

Veröffentlicht: 18.01.2023
Aktualisiert: 11.10.2026 12:21

Versions of the package cookiejar before 2.1.4 are vulnerable to Regular Expression Denial of Service (ReDoS) via the Cookie.parse function and other aspects of the API, which use an insecure regular expression for parsing cookie values. Applications could be stalled for extended periods of time if untrusted input is passed to cookie values or attempted to parse from request headers.

Proof of concept:

ts\nconst { CookieJar } = require("cookiejar");

const jar = new CookieJar();

const start = performance.now();

const attack = "a" + "t".repeat(50_000);
jar.setCookie(attack);

console.log(`CookieJar.setCookie(): ${performance.now() - start}ms`);

CookieJar.setCookie(): 2963.214399999939ms

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.webjars.npm:cookiejar	<= 2.1.3	keine Korrektur
npm-Paket	cookiejar	< 2.1.4	2.1.4

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Schwäche (CWE): CWE-1333
Plattform: Java / Kotlin (Maven), npm
Paket: org.webjars.npm:cookiejar, cookiejar
Veröffentlicht: 18.01.2023
Aktualisiert: 11.10.2026 12:21

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-h452-7996-h45h - CC BY 4.0

Schwachstellenhistorie: org.webjars.npm:cookiejar

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Dies ist die einzige bekannte Schwachstelle dieses Pakets.

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden