CVE-2022-41940

CVE

Средний

Engine.IO - это реализация транспортного уровня двунаправленной связи между браузерами/устройствами для Socket.IO. Специально созданный HTT…

CVSS

6.5

Средний

EPSS

0.02

p77

Опубликовано

2022-01-01

Обновлено

2022-01-01

Описание

Engine.IO - это реализация транспортного уровня двунаправленной связи между браузерами/устройствами для Socket.IO. Специально созданный HTTP-запрос может вызвать необработанное исключение на сервере Engine.IO, тем самым завершив процесс Node.js. Это влияет на всех пользователей пакета engine.io, включая тех, кто использует зависимые пакеты, такие как socket.io. Нет известного обходного пути, кроме обновления до безопасной версии. Патчи для этой проблемы были выпущены в версиях 3.6.1 и 6.2.1.

Теги · CWE

CWE-248

Затронутые продукты

Engine.io < 3.6.1Engine.io 4.0.0–6.2.1

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Хронология

2022-01-01

Опубликована

2022-01-01

Обновлена

Разбор CVSS 3.1

Вектор атаки

AV: N

Сеть (N)

Сложность атаки

AC: L

Низкая (L)

Требуемые привилегии

PR: L

Низкие (L)

Взаимодействие с пользователем

UI: N

Отсутствует (N)

Область воздействия

S: U

Неизменная (U)

Воздействие на конфиденциальность

C: N

Отсутствует (N)

Воздействие на целостность

I: N

Отсутствует (N)

Воздействие на доступность

A: H

Высокое (H)

Индикаторы эксплуатации

EPSS

0.019 · p77

Известна эксплуатация (KEV)

Нет

Проверки Сканер-ВС

Проверок Сканер-ВС для этой уязвимости в базе пока нет.

Затронутые продукты

Socket

Engine.io

Продукт	Вендор	Статус
engine.io	*	Отслеживается

Источники данных

CVE