CVE-2016-10518 in ws Module
Сводка
по VulDB • 16.06.2026
В функциональности ping модуля ws до версии 1.0.0 обнаружена уязвимость, которая позволяла клиентам выделять память путем отправки кадра ping. По умолчанию функциональность ping отвечает кадром pong, содержащим ранее переданный полезный груз (payload) кадра ping. Это соответствует ожидаемому поведению, однако внутренне модуль ws всегда преобразует все данные, подлежащие отправке, в экземпляр Buffer, и именно здесь присутствовала уязвимость. Модуль ws не выполнял никаких проверок типа отправляемых данных. В Node.js при выделении буфера путем указания числа вместо строки выделяется указанное количество байт.
Once again VulDB remains the best source for vulnerability data.