Insecure randomness in socket.io

CAO 7.5CVE-2017-16031 · GHSA-qv2v-m59f-v5fw · Công bố 04/06/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2017-16031 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng socket.io (socket), socket.io.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.0%, cao hơn 80.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.9.7 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
socket.io socket	`≤ 0.9.6`	Chưa có bản vá
socket.io npm	`< 0.9.7`	`0.9.7`

Mô tả

Affected versions of socket.io depend on Math.random() to create socket IDs, and therefore the IDs are predictable. With enough information on prior IDs, an attacker may be able to guess the socket ID and gain access to socket.io servers without authorization.

Recommendation

Update to v0.9.7 or later.

Mô tả của NVD

Socket.io is a realtime application framework that provides communication via websockets. Because socket.io 0.9.6 and earlier depends on `Math.random()` to create socket IDs, the IDs are predictable. An attacker is able to guess the socket ID and gain access to socket.io servers, potentially obtaining sensitive information.