decode-uri-component: Denial of Service durch quadratische Ersetzung von Prozent-kodierten Sequenzen
Zusammenfassung
decode-uri-component ist eine npm-Bibliothek, die als Decodierungshilfe dient, häufig als transitive Abhängigkeit von query-string. Versionen vor 0.5.1 verwenden einen Fallback-Decoder, dessen Aufwand quadratisch mit der Anzahl unterschiedlicher prozent-kodierter Sequenzen in fehlerhafter Eingabe wächst. Ein nicht authentifizierter Angreifer kann eine präparierte Anfrage von etwa 224 KB senden, die den Event Loop von Node.js für rund 20 Sekunden blockiert und so einen Denial of Service auslöst. Datenverlust oder Codeausführung sind nicht möglich, und der Angriff erfordert einen Node.js-Dienst, der angreiferkontrollierte, prozent-kodierte Eingaben mit dieser Bibliothek verarbeitet.
Betroffen
- decode-uri-component-Versionen vor 0.5.1
- Transitive Nutzung über query-string 7 und ähnliche Pakete
- Version 0.5.0 ist betroffen
Behoben in
- Version 0.5.1 (Upstream-Fix-Commit fad01d65b93bd3f2f0dc32dfd8d57a38b57bc608)
- Hinweis: 0.5.1 ist nur ESM; CommonJS-Verbraucher können brechen
Umgehung
- Kein offizieller Workaround dokumentiert.
- Grössen von Request-Bodies und URLs begrenzen.
- Wo keine tolerante Fallback-Dekodierung nötig ist, native decodeURIComponent verwenden und fehlerhafte Eingaben mit HTTP 400 ablehnen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; CISA-KEV-Status nicht verifiziert.
- Öffentliche technische Details und ein Unit-Test zur Reproduktion existieren; kein waffenfähiger Exploit gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- EPSS 0.32 %.
Unsere Empfehlung
- Prüfen, ob decode-uri-component direkt oder transitiv genutzt wird (z. B. npm ls decode-uri-component).
- Internet-exponierte Node.js-Dienste, die Request-Eingaben verarbeiten, priorisieren.
- Auf Version 0.5.1 oder neuer aktualisieren, mittels Override, und CommonJS-Verbraucher vor dem Rollout testen.
- Als Übergangsmassnahme Grössenbeschränkungen für Requests anwenden.
- Event-Loop-Latenz und CPU-Spitzen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-qr28-fpjm-wq7f github.com
- Release v0.5.1 github.com
- Fix commit fad01d6 github.com
- Upstream fix pull request #25 github.com
- GitLab Advisory Database advisories.gitlab.com
- Tenable CVE-2026-118664 www.tenable.com
- OSV CVE-2026-45822 (related earlier issue) osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.