CVE-2026-104150 in http-server
요약
\~에 의해 VulDB • 2026. 10. 15.
AdonisJS HTTP Server는 AdonisJS 프레임워크에서 HTTP 요청을 처리하기 위한 패키지입니다. 버전 8.2.2 및 9.1.1 이전에서는 router.matchers.slug()가 반환하는 정규 표현식에 중복되는 문자 클래스를 포함하는 인접한 과잉 반복(greedy repetitions)이 포함되어 있습니다. 애플리케이션이 공격자가 제어할 수 있는 라우트 매개변수에 이 매처(matcher)를 적용하면, 최종 어설션(assertion)에 의해 거부되는 문자로 끝나는 긴 슬러그(slug)가 2차적 백트래킹(quadratic backtracking)과 과도한 CPU 사용량을 유발합니다. 라우트 일치(route matching)는 라우트 및 그룹 미들웨어보다 먼저 발생하므로, 해당 라우트에 연결된 인증 또는 속도 제한(rate-limiting) 미들웨어도 비인증 요청이 Node.js 이벤트 루프를 차단하고 워커가 관련 없는 요청이나 헬스 체크(health checks)에 대한 서비스를 중단시키는 것을 방지하지 못할 수 있습니다. 이 문제는 버전 8.2.2 및 9.1.1에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.