Unsafe Merging of CORS Configuration Conflict in hapi

TRUNG BÌNH 5.9CVE-2015-9243 · GHSA-j3g2-m5jj-6336 · Công bố 29/05/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2015-9243 là lỗ hổng mức TRUNG BÌNH (CVSS 5.9) ảnh hưởng hapi (hapijs), hapi.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.0%, cao hơn 63.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 11.1.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
hapi hapijs	`< 11.1.4`	`11.1.4`
hapi npm	`< 11.1.4`	`11.1.4`

Mô tả

Versions of hapi prior to 11.1.4 are affected by a vulnerability that causes route-level CORS configuration to override connection-level or server-level CORS defaults. This may result in a situation where CORS permissions are less restrictive than intended.

Recommendation

Update hapi to version 11.1.4 or later.

Mô tả của NVD

When server level, connection level or route level CORS configurations in hapi node module before 11.1.4 are combined and when a higher level config included security restrictions (like origin), a higher level config that included security restrictions (like origin) would have those restrictions overridden by less restrictive defaults (e.g. origin defaults to all origins `*`).