Server-Side Request Forgery in Request

TRUNG BÌNH 6.1CVE-2023-28155 · GHSA-p8p7-x288-28g6 · Công bố 16/03/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-28155 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng request (request project), @cypress/request, request.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.72%, cao hơn 54.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 3.0.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
request request_project	`≤ 2.88.1`	Chưa có bản vá
@cypress/request npm	`< 3.0.0`	`3.0.0`
request npm	`≤ 2.88.2`	Chưa có bản vá

Mô tả

The request package through 2.88.2 for Node.js and the @cypress/request package prior to 3.0.0 allow a bypass of SSRF mitigations via an attacker-controller server that does a cross-protocol redirect (HTTP to HTTPS, or HTTPS to HTTP).

NOTE: The request package is no longer supported by the maintainer.

Mô tả của NVD

The Request package through 2.88.1 for Node.js allows a bypass of SSRF mitigations via an attacker-controller server that does a cross-protocol redirect (HTTP to HTTPS, or HTTPS to HTTP). NOTE: This vulnerability only affects products that are no longer supported by the maintainer.