Regular Expression Denial of Service in is-my-json-valid

高 7.5CVE-2016-2537 · GHSA-f522-ffg8-j8r6 · 23/02/2016 公開 · 17/06/2026 更新

要点

CVE-2016-2537 は is my json valid (is my json valid project), is-my-json-valid に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.8%（全脆弱性の 79.2% より高い）。
対処：2.12.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
is my json valid is_my_json_valid_project	`≤ 2.12.3`	修正版なし
is-my-json-valid npm	`< 2.12.4`	`2.12.4`

概要

Version of is-my-json-valid before 2.12.4 are vulnerable to regular expression denial of service (ReDoS) via the email validation function.

Recommendation

Update to version 2.12.4 or later.

NVD の説明

The is-my-json-valid package before 2.12.4 for Node.js has an incorrect exports['utc-millisec'] regular expression, which allows remote attackers to cause a denial of service (blocked event loop) via a crafted string.