Regular Expression Denial of Service in csv-parse

高 7.5CVE-2019-17592 · GHSA-582f-p4pg-xc74 · 14/10/2019 公開 · 17/06/2026 更新

要点

CVE-2019-17592 は csv-parse (csv-parse project), csv-parse に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.3%（全脆弱性の 83.2% より高い）。
対処：4.4.6 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
csv-parse csv-parse_project	`< 4.4.6`	`4.4.6`
csv-parse npm	`< 4.4.6`	`4.4.6`

概要

Versions of csv-parse prior to 4.4.6 are vulnerable to Regular Expression Denial of Service. The __isInt() function contains a malformed regular expression that processes large specially-crafted input very slowly, leading to a Denial of Service. This is triggered when using the cast option.

Recommendation

Upgrade to version 4.4.6 or later.

NVD の説明

The csv-parse module before 4.4.6 for Node.js is vulnerable to Regular Expression Denial of Service. The __isInt() function contains a malformed regular expression that processes large crafted input very slowly. This is triggered when using the cast option.