mammoth.js: Regulärer Ausdruck führt zu Denial of Service in Style-Map-Tokeniser

Zusammenfassung

mammoth.js, eine Node.js-Bibliothek zur Konvertierung von .docx-Dateien in HTML, enthält eine Schwachstelle vom Typ Regular Expression Denial of Service (ReDoS) im Style-Map-Tokeniser. Ein Angreifer kann eine präparierte .docx-Datei mit einer nicht abgeschlossenen Zeichenkette aus wiederholten Backslash-Escapes in der Style Map übergeben, wodurch der Event Loop von Node.js blockiert wird. Die Auswirkung beschränkt sich auf einen Denial of Service; es sind keine Auswirkungen auf Vertraulichkeit oder Integrität bekannt. Die Gefährdung hängt davon ab, ob eine Anwendung hochgeladene oder externe .docx-Dateien an mammoth übergibt.

Betroffen

• mammoth.js 1.3.0 bis vor 1.12.3
• Standardkonfiguration: nicht betroffen
• Betroffene Komponente: lib/styles/parser/tokeniser.js (Style Map)

Behoben in

• Behoben in mammoth.js 1.12.3
• Hinweis: Ein inoffizieller Aggregator nennt 1.12.4 und höher; der Fix-Commit dc49225425c2c07de0a6dc3529f2386c82a032b4 sollte bestätigt werden
• Aktuelle Version: 1.13.0 (Aktualisierung auf 1.12.3 oder neuer nach Test)

Umgehung

• Keine Workaround des Herstellers bekannt.
• .docx-Dateien aus nicht vertrauenswürdigen Quellen nicht konvertieren.
• Konvertierung in einem separaten Worker-Prozess mit Timeout ausführen.
• Upload-Grösse begrenzen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Nicht im Katalog der CISA Known Exploited Vulnerabilities aufgeführt (nur über einen Aggregator geprüft).
• Kein öffentlicher Proof-of-Concept-Exploit bestätigt.
• EPSS-Wert: 0.00358.

Unsere Empfehlung

• Lockfiles und ausgerollte Manifeste auf mammoth-Versionen unter 1.12.3 prüfen, einschliesslich transitiver Abhängigkeiten.
• Nach Test auf 1.12.3 oder neuer aktualisieren.
• Aus ddem Internet erreichbare Anwendungen, die hochgeladene Word-Dateien konvertieren, priorisieren.
• Bis zur Behebung die Dokumentenkonvertierung in einem Worker-Prozess mit Timeout isolieren und nicht vertrauenswürdige Dateien abweisen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record / VulnCheck advisory www.vulncheck.com
• mammoth.js fix commit github.com
• mammoth.js issue #487 github.com
• mammoth.js repository github.com
• OSV entry osv.dev
• Tenable CVE entry (EPSS) www.tenable.com
• Mend vulnerability database www.mend.io
• TheHackerWire (exploitation status, aggregator) www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:37.