Feathers socket handler allows abusing implicit toString

CAO 7.5CVE-2023-37899 · GHSA-hhr9-rh25-hvf9 · Công bố 19/07/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-37899 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng feathers (feathersjs), @feathersjs/socketio, @feathersjs/transport-commons.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.2%, cao hơn 67.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 5.0.8, 4.5.18 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
feathers feathersjs	`≥ 5.0.0, < 5.0.8< 4.5.18`	`5.0.84.5.18`
@feathersjs/socketio npm	`≥ 5.0.0, < 5.0.8< 4.5.18`	`5.0.84.5.18`
@feathersjs/transport-commons npm	`≥ 5.0.0, < 5.0.8< 4.5.18`	`5.0.84.5.18`

Mô tả

Impact

Feathers socket handler did not catch invalid string conversion errors like:

const message = `${{ toString: '' }}`

Causing the NodeJS process to crash when sending an unexpected Socket.io message like

socket.emit('find', { toString: '' })

Patches

A fix has been released in

v5.0.8 via #3241
v4.5.18 via #3242

Workarounds

Since it is in the core Socket handling code upgrading to the latest version is necessary.

References

Mô tả của NVD

Feathersjs is a framework for creating web APIs and real-time applications with TypeScript or JavaScript. Feathers socket handler did not catch invalid string conversion errors like `const message = ${{ toString: '' }}` which would cause the NodeJS process to crash when sending an unexpected Socket.io message like `socket.emit('find', { toString: '' })`. A fix has been released in versions 5.0.8 and 4.5.18. Users are advised to upgrade. There is no known workaround for this vulnerability.