CVE-2024-29041 in Express.js
Riassunto
di VulDB • 14/06/2026
Express.js è un framework web minimalista per Node.js. Le versioni di Express.js precedenti alla 4.19.0 e tutte le versioni pre-rilascio alpha e beta della 5.0 sono affette da una vulnerabilità di open redirect che sfrutta URL malformati. Quando un utente di Express esegue un redirect utilizzando un URL fornito dall'utente, Express effettua un'operazione di encoding (tramite `encodeurl`) sui contenuti prima di passarli all'intestazione `location`. Ciò può causare la valutazione di URL malformati in modi imprevisti dalle comuni implementazioni di allow list per i redirect nelle applicazioni Express, portando a un Open Redirect tramite elusione di una allow list correttamente implementata. Il metodo principale interessato è `res.location()`, ma questo viene chiamato anche all'interno di `res.redirect()`. La vulnerabilità è risolta nelle versioni 4.19.2 e 5.0.0-beta.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.