Към съдържанието
Търсене

CVE-2025-22150: nodejs undici, слаба криптография

6.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Undici is an HTTP/1.1 client. Starting in version 4.5.0 and prior to versions 5.28.5, 6.21.1, and 7.2.3, undici uses `Math.random()` to choose the boundary for a multipart/form-data request. It is known that the output of `Math.random()` can be predicted if several of its generated values are known. If there is a mechanism in an app that sends multipart requests to an attacker-controlled website, they can use this to leak the necessary values. Therefore, an attacker can tamper with the requests going to the backend APIs if certain conditions are met. This is fixed in versions 5.28.5, 6.21.1, and 7.2.3. As a workaround, do not issue multipart requests to attacker controlled servers.

Засегнати продукти

  • nodejs undici: >= 4.5.0, < 5.28.5; >= 6.0.0, < 6.21.1; >= 7.0.0, < 7.2.3

Вид слабост

История

  • 21 януари 2025 Публикувано

Други уязвимости в nodejs undici

Първоизточници

CVE-2025-22150: nodejs undici, слаба криптография | freedomonline.bg