CVE-2026-104150 in http-server
Zusammenfassung
von VulDB • 15.10.2026
Der AdonisJS HTTP Server ist ein Paket zur Verarbeitung von HTTP-Anfragen im AdonisJS-Framework. Vor den Versionen 8.2.2 und 9.1.1 enthält der reguläre Ausdruck, der von router.matchers.slug() zurückgegeben wird, benachbarte gierige Wiederholungen mit überlappenden Zeichengruppen. Wenn eine Anwendung diesen Matcher auf einen angreiferkontrollierten Routenparameter anwendet, führt ein langer Slug, der in einem Zeichen endet, das vom finalen Assertion-Test abgelehnt wird, zu quadratischem Backtracking und übermäßigem CPU-Einsatz. Die Übereinstimmung von Routen erfolgt vor dem Route- und Group-Middleware, sodass Authentifizierungs- oder Rate-Limiting-Middlewares, die an die Route angehängt sind, möglicherweise keine unbefugte Anfrage verhindern können, die den Node.js Event Loop blockiert und verhindert, dass der Worker andere Anfragen oder Health Checks bedient. Dieses Problem wurde in den Versionen 8.2.2 und 9.1.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.