node-fetch Inefficient Regular Expression Complexity

TRUNG BÌNH 5.9CVE-2022-2596 · GHSA-vp56-6g26-6827 · Công bố 01/08/2022 · cập nhật 07/10/2026

Tóm tắt nhanh

CVE-2022-2596 là lỗ hổng mức TRUNG BÌNH (CVSS 5.9) ảnh hưởng node-fetch (node-fetch project), node-fetch.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.3%, cao hơn 71.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 3.2.10 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
node-fetch node-fetch_project	`≥ 3.0.0, < 3.2.10`	`3.2.10`
node-fetch npm	`≥ 3.0.0, < 3.2.10`	`3.2.10`

Mô tả

node-fetch is a light-weight module that brings window.fetch to node.js.

Affected versions of this package are vulnerable to Regular Expression Denial of Service (ReDoS) in the isOriginPotentiallyTrustworthy() function in referrer.js, when processing a URL string with alternating letters and periods, such as 'http://' + 'a.a.'.repeat(i) + 'a'.

Mô tả của NVD

Inefficient Regular Expression Complexity in GitHub repository node-fetch/node-fetch prior to 3.2.10.