CVE-2022-32214

Опубликовано: 14 июл. 2022

Источник: nvd

CVSS3: 6.5

EPSS Средний

Описание

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not strictly use the CRLF sequence to delimit HTTP requests. This can lead to HTTP Request Smuggling (HRS).

Ссылки

https://hackerone.com/reports/1524692
Exploit
Issue Tracking
Third Party Advisory
https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/
Patch
Vendor Advisory
https://www.debian.org/security/2023/dsa-5326
Third Party Advisory
https://hackerone.com/reports/1524692
Exploit
Issue Tracking
Third Party Advisory
https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/
Patch
Vendor Advisory
https://www.debian.org/security/2023/dsa-5326
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:llhttp:llhttp:*:*:*:*:*:node.js:*:*

Версия до 2.1.5 (исключая)

cpe:2.3:a:llhttp:llhttp:*:*:*:*:*:node.js:*:*

Версия от 6.0.0 (включая) до 6.0.7 (исключая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 14.0.0 (включая) до 14.14.0 (включая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:*

Версия от 14.15.0 (включая) до 14.20.0 (исключая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 16.0.0 (включая) до 16.12.0 (включая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:*

Версия от 16.13.0 (включая) до 16.16.0 (исключая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 18.0.0 (включая) до 18.5.0 (исключая)

Конфигурация 2

cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*

Конфигурация 3

cpe:2.3:a:stormshield:stormshield_management_center:*:*:*:*:*:*:*:*

Версия до 3.3.0 (исключая)

EPSS

Процентиль: 98%

0.68446

Средний

6.5 Medium

CVSS3

Дефекты

CWE-444

Связанные уязвимости

CVE-2022-32214

CVSS3: 6.5

ubuntu

почти 3 года назад

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not strictly use the CRLF sequence to delimit HTTP requests. This can lead to HTTP Request Smuggling (HRS).

CVE-2022-32214

CVSS3: 6.5

redhat

почти 3 года назад

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not strictly use the CRLF sequence to delimit HTTP requests. This can lead to HTTP Request Smuggling (HRS).

CVE-2022-32214

CVSS3: 6.5

msrc

почти 3 года назад

Описание отсутствует

CVE-2022-32214

CVSS3: 6.5

debian

почти 3 года назад

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module ...

GHSA-q5vx-44v4-gch4

CVSS3: 9.1

github

почти 3 года назад

llhttp allows HTTP Request Smuggling via Improper Delimiting of Header Fields

EPSS

Процентиль: 98%

0.68446

Средний

6.5 Medium

CVSS3

Дефекты

CWE-444