Kritisch

Inefficient Regular Expression Complexity in koa

Veröffentlicht: 12.02.2025
Aktualisiert: 11.10.2026 10:22

Summary

Koa uses an evil regex to parse the X-Forwarded-Proto and X-Forwarded-Host HTTP headers. This can be exploited to carry out a Denial-of-Service attack.

PoC

Coming soon.

Impact

This is a Regex Denial-of-Service attack and causes memory exhaustion. The regex should be improved and empty values should not be allowed.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	koa	>= 2.0.0, < 2.15.4, >= 3.0.0-alpha.0, < 3.0.0-alpha.3, >= 1.0.0, < 1.7.1, < 0.21.2	2.15.4, 3.0.0-alpha.3, 1.7.1, 0.21.2

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
Schwäche (CWE): CWE-1333
Plattform: npm
Paket: koa
Veröffentlicht: 12.02.2025
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-593f-38f6-jp5m - CC BY 4.0

Schwachstellenhistorie: koa

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 02.2025 02.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 1
Mittel 2
Niedrig 1

Veröffentlichungen pro Jahr

2025: 4
2026: 1

26.02.2026

Koa has Host Header Injection via ctx.hostname

Hoch · 7.5 CVE-2026-27959 >= 3.0.0, < 3.1.2, < 2.16.4 3.1.2, 2.16.4
21.10.2025

Koa Vulnerable to Open Redirect via Trailing Double-Slash (//) in back Redirect Logic

Mittel · 4.7 CVE-2025-62595 >= 3.0.1, < 3.0.3, >= 2.16.2, < 2.16.3 3.0.3, 2.16.3
29.07.2025

Koa Open Redirect via Referrer Header (User-Controlled)

Niedrig · 3.5 CVE-2025-8129 >= 2.0.0, < 2.16.2, >= 3.0.0-alpha.0, < 3.0.1 2.16.2, 3.0.1
09.04.2025

Koajs vulnerable to Cross-Site Scripting (XSS) at ctx.redirect() function

Mittel · 5.0 CVE-2025-32379 < 2.16.1, >= 3.0.0-alpha.1, < 3.0.0-alpha.5 2.16.1, 3.0.0-alpha.5
12.02.2025

Inefficient Regular Expression Complexity in koa dieser Eintrag

Kritisch CVE-2025-25200 >= 2.0.0, < 2.15.4, >= 3.0.0-alpha.0, < 3.0.0-alpha.3, >= 1.0.0, < 1.7.1, < 0.21.2 2.15.4, 3.0.0-alpha.3, 1.7.1, 0.21.2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden