@hapi/content: ReDoS in Content.disposition() bei der Parameterverarbeitung

Zusammenfassung

@hapi/content in den Versionen 6.0.1 bis vor 6.0.3 enthält eine Schwachstelle vom Typ Regular Expression Denial of Service in Content.disposition(). Es handelt sich um eine unvollständige Korrektur von CVE-2026-35213. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann einen Multipart-Upload mit einem langen Content-Disposition-Parameter ohne Gleichheitszeichen senden. Dadurch entsteht quadratisches Backtracking, das die Event Loop von Node.js blockiert. Aus dem Internet erreichbare Node.js-Anwendungen, die Multipart-Uploads akzeptieren, sind einem Dienstausfall ausgesetzt.

Betroffen

• @hapi/content 6.0.1 bis vor 6.0.3
• Anwendungen, die dieses Paket direkt oder über hapi und verwandte Pakete verwenden

Behoben in

• @hapi/content 6.0.3

Umgehung

Unbekannt. Der Hersteller hat keine Workaround veröffentlicht. Das Upgrade auf 6.0.3 ist die Korrektur.

Ausnutzung

• CISA SSVC (gemäss CVE-Eintrag): Exploitation none, Automatable yes, Technical Impact partial
• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden
• Laut einem Drittanbieter-Aggregator nicht im KEV-Katalog der CISA; auf cisa.gov überprüfen

Unsere Empfehlung

• Alle Node.js-Projekte ermitteln, die @hapi/content verwenden, einschliesslich indirekter Abhängigkeiten, anhand der Lockfiles
• Auf 6.0.3 aktualisieren, das Lockfile neu erzeugen und neu ausrollen
• Aus dem Internet erreichbare Dienste mit Multipart-Upload-Endpunkten priorisieren
• Bis zur Korrektur Grössen von Request-Headern und Request-Bodies am Reverse Proxy oder WAF begrenzen und Timeouts für Upload-Endpunkte setzen
• Herstellerhinweis und NVD-Eintrag auf Aktualisierungen prüfen, da die NVD-Analyse noch ausstand

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record references: GitHub commit 0993851 (fix) github.com
• @hapi/content release v6.0.3 (fixed version) github.com
• hapijs/content security advisory GHSA-jg4p-7fhp-p32p github.com
• VulnCheck advisory: @hapi/content ReDoS via Content.disposition() www.vulncheck.com
• hapijs/content lib/index.js at v6.0.2 (vulnerable code) github.com
• OSV entry GHSA-jg4p-7fhp-p32p osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:31.