Wysoka

Feathers socket handler allows abusing implicit toString

Ujawniono: 20.07.2023
Aktualizacja: 11.10.2026 10:22

Impact

Feathers socket handler did not catch invalid string conversion errors like:

const message = `${{ toString: '' }}`

Causing the NodeJS process to crash when sending an unexpected Socket.io message like

socket.emit('find', { toString: '' })

Patches

A fix has been released in

v5.0.8 via #3241
v4.5.18 via #3242

Workarounds

Since it is in the core Socket handling code upgrading to the latest version is necessary.

References

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	@feathersjs/socketio	< 4.5.18, >= 5.0.0, < 5.0.8	4.5.18, 5.0.8
Paczka npm	@feathersjs/transport-commons	< 4.5.18, >= 5.0.0, < 5.0.8	4.5.18, 5.0.8

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-754
Platforma: npm
Paczka: @feathersjs/socketio, @feathersjs/transport-commons
Ujawniono: 20.07.2023
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-hhr9-rh25-hvf9 - CC BY 4.0

Historia podatności: @feathersjs/transport-commons

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację