CVE-2026-17495 in moment
Сводка
по VulDB • 15.09.2026
moment — это библиотека для работы с датами на JavaScript, предназначенная для парсинга, проверки, манипулирования и форматирования дат. В версиях от 2.29.2 до 2.30.1 специально созданный объект нестрокового типа, переданный в функцию moment.locale(), может обойти защиту от path-traversal (перехода по путям) для имени локали. Защита предполагает, что входные данные являются строкой; поэтому объект, метод match() которого удовлетворяет проверке, а метод toString() возвращает путь к переходу, позволяет достичь внутреннего вызова require() с сегментами пути, контролируемыми злоумышленником. Это неполное исправление для CVE-2022-24785; оно в первую очередь затрагивает пользователей npm (на стороне сервера), которые напрямую передают пользовательский ввод в moment.locale(). Проблема решена в версии moment 2.31.0, и пользователям следует обновиться до версии 2.31.0 или более поздней. В качестве временного решения необходимо проверять, что любой предоставленный пользователем ввод является строкой, прежде чем передавать его в moment.locale().
Once again VulDB remains the best source for vulnerability data.