Krytyczna

Inefficient Regular Expression Complexity in koa

Ujawniono: 12.02.2025
Aktualizacja: 11.10.2026 10:22

Summary

Koa uses an evil regex to parse the X-Forwarded-Proto and X-Forwarded-Host HTTP headers. This can be exploited to carry out a Denial-of-Service attack.

PoC

Coming soon.

Impact

This is a Regex Denial-of-Service attack and causes memory exhaustion. The regex should be improved and empty values should not be allowed.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	koa	>= 2.0.0, < 2.15.4, >= 3.0.0-alpha.0, < 3.0.0-alpha.3, >= 1.0.0, < 1.7.1, < 0.21.2	2.15.4, 3.0.0-alpha.3, 1.7.1, 0.21.2

Odnośniki

Ocena CVSS -

Wektor CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
Słabość (CWE): CWE-1333
Platforma: npm
Paczka: koa
Ujawniono: 12.02.2025
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-593f-38f6-jp5m - CC BY 4.0

Historia podatności: koa

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 02.2025 02.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 1
Średnia 2
Niska 1

Ujawnienia w latach

2025: 4
2026: 1

26.02.2026

Koa has Host Header Injection via ctx.hostname

Wysoka · 7.5 CVE-2026-27959 >= 3.0.0, < 3.1.2, < 2.16.4 3.1.2, 2.16.4
21.10.2025

Koa Vulnerable to Open Redirect via Trailing Double-Slash (//) in back Redirect Logic

Średnia · 4.7 CVE-2025-62595 >= 3.0.1, < 3.0.3, >= 2.16.2, < 2.16.3 3.0.3, 2.16.3
29.07.2025

Koa Open Redirect via Referrer Header (User-Controlled)

Niska · 3.5 CVE-2025-8129 >= 2.0.0, < 2.16.2, >= 3.0.0-alpha.0, < 3.0.1 2.16.2, 3.0.1
09.04.2025

Koajs vulnerable to Cross-Site Scripting (XSS) at ctx.redirect() function

Średnia · 5.0 CVE-2025-32379 < 2.16.1, >= 3.0.0-alpha.1, < 3.0.0-alpha.5 2.16.1, 3.0.0-alpha.5
12.02.2025

Inefficient Regular Expression Complexity in koa ten wpis

Krytyczna CVE-2025-25200 >= 2.0.0, < 2.15.4, >= 3.0.0-alpha.0, < 3.0.0-alpha.3, >= 1.0.0, < 1.7.1, < 0.21.2 2.15.4, 3.0.0-alpha.3, 1.7.1, 0.21.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację