CVE-2022-35256

Опубликовано: 05 дек. 2022

Источник: nvd

CVSS3: 6.5

EPSS Низкий

Описание

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

Ссылки

https://cert-portal.siemens.com/productcert/pdf/ssa-332410.pdf
Third Party Advisory
https://hackerone.com/reports/1675191
Exploit
Issue Tracking
Third Party Advisory
https://www.debian.org/security/2023/dsa-5326
Third Party Advisory
https://cert-portal.siemens.com/productcert/pdf/ssa-332410.pdf
Third Party Advisory
https://hackerone.com/reports/1675191
Exploit
Issue Tracking
Third Party Advisory
https://www.debian.org/security/2023/dsa-5326
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 14.0.0 (включая) до 14.14.0 (включая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:*

Версия от 14.15.0 (включая) до 14.20.1 (исключая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 16.0.0 (включая) до 16.12.0 (включая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:*

Версия от 16.13.0 (включая) до 16.17.1 (исключая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 18.0.0 (включая) до 18.9.1 (исключая)

Конфигурация 2

cpe:2.3:a:llhttp:llhttp:*:*:*:*:*:node.js:*:*

Версия до 6.0.10 (исключая)

Конфигурация 3

Одно из

cpe:2.3:a:siemens:sinec_ins:*:*:*:*:*:*:*:*

Версия до 1.0 (исключая)

cpe:2.3:a:siemens:sinec_ins:1.0:-:*:*:*:*:*:*

cpe:2.3:a:siemens:sinec_ins:1.0:sp1:*:*:*:*:*:*

cpe:2.3:a:siemens:sinec_ins:1.0:sp2:*:*:*:*:*:*

Конфигурация 4

cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*

EPSS

Процентиль: 87%

0.03548

Низкий

6.5 Medium

CVSS3

Дефекты

CWE-444

Связанные уязвимости

CVE-2022-35256

CVSS3: 6.5

ubuntu

больше 2 лет назад

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

CVE-2022-35256

CVSS3: 6.5

redhat

больше 2 лет назад

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

CVE-2022-35256

CVSS3: 6.5

msrc

больше 2 лет назад

Описание отсутствует

CVE-2022-35256

CVSS3: 6.5

debian

больше 2 лет назад

The llhttp parser in the http module in Node v18.7.0 does not correctl ...

GHSA-rc2m-q589-vpqx

CVSS3: 9.8

github

больше 2 лет назад

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

EPSS

Процентиль: 87%

0.03548

Низкий

6.5 Medium

CVSS3

Дефекты

CWE-444