CVE-2022-24999 in qs
Zusammenfassung
von VulDB • 04.08.2026
qs vor Version 6.10.3, wie es in Express vor Version 4.17.3 und anderen Produkten verwendet wird, ermöglicht es Angreifern, ein Hängenbleiben eines Node-Prozesses für eine Express-Anwendung zu verursachen, da ein __proto__-Schlüssel verwendet werden kann. In vielen typischen Express-Nutzungsfällen kann ein nicht authentifizierter Remote-Angreifer das Angriffs-Payload in der Query-String des URL platzieren, die zur Anzeige der Anwendung verwendet wird, wie z.B. a[__proto__]=b&a[__proto__]&a[length]=100000000. Die Korrektur wurde auf qs 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3 und 6.2.4 zurückportiert (und daher ist Express 4.17.3, das „deps: [email protected]“ in seiner Release-Beschreibung hat, nicht anfällig).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.