Server-Side Request Forgery in Request

中 6.1CVE-2023-28155 · GHSA-p8p7-x288-28g6 · 16/03/2023 公開 · 17/06/2026 更新

要点

CVE-2023-28155 は request (request project), @cypress/request, request に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.72%（全脆弱性の 54.1% より高い）。
対処：3.0.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
request request_project	`≤ 2.88.1`	修正版なし
@cypress/request npm	`< 3.0.0`	`3.0.0`
request npm	`≤ 2.88.2`	修正版なし

概要

The request package through 2.88.2 for Node.js and the @cypress/request package prior to 3.0.0 allow a bypass of SSRF mitigations via an attacker-controller server that does a cross-protocol redirect (HTTP to HTTPS, or HTTPS to HTTP).

NOTE: The request package is no longer supported by the maintainer.

NVD の説明

The Request package through 2.88.1 for Node.js allows a bypass of SSRF mitigations via an attacker-controller server that does a cross-protocol redirect (HTTP to HTTPS, or HTTPS to HTTP). NOTE: This vulnerability only affects products that are no longer supported by the maintainer.