@hapi/content: Parsing von Content-Disposition mit quadratischer Laufzeit ermöglicht Denial of Service
Die Bibliothek @hapi/content, die vom Node.js-Framework hapi und von @hapi/pez für das Parsen von multipart/form-data verwendet wird, enthält einen Fehler in Content.disposition(). Ein Content-Disposition-Header mit einem langen Parameter-Token ohne Gleichheitszeichen führt zu einer Verarbeitung mit quadratischer Laufzeit, die den Event Loop von Node.js blockieren kann. Ein nicht authentifizierter Angreifer kann mit einer einzelnen manipulierten multipart-Anfrage einen Einzelprozess-Dienst lahmlegen; auch Anwendungen, die nicht vertrauenswürdige Header direkt an Content.disposition() übergeben, sind betroffen.
hapi project · @hapi/content
