decode-uri-component <=0.2.0 存在输入验证不当漏洞
漏洞描述 decode-uri-component 是一个用于解码 url 的工具包。query-string 是一个对 url 进行解析和字符串化的工具包。 decode-uri-component 0.2.0 及之前的版本在使用 decodeUriComponent 类解析特制字符(如“%ea%ba%5a%ba”)时会触发异常 “Uncaught TypeError TypeError: decodeComponents(...).join is not a function”,使得服务停止响应。当应用程序使用 decodeUriComponent 解析未过滤的用户输入时,攻击者可通过构造特制的 url 字符进行拒绝服务攻击。 使用 decode-uri-component 组件对 url 解码的 nodejs 项目(如在 GitHub 具有 6.1k stars 的 query-string 在 7.1.1 及之前版本)会受到此漏洞影响。 漏洞名称 decode-uri-component <=0.2.0 存在输入验证不当漏洞 漏洞类型 输入验证不恰当 发现时间 2022-...
