is.js एक सामान्य-उद्देश्य जाँच लाइब्रेरी है। संस्करण 0.9.0 और इससे पहले में एक या अधिक रेगुलर एक्सप्रेशन (Regular Expression) हैं जो रेगुलर एक्सप्रेशन डिनायल ऑफ़ सर्विस (ReDoS) के प्रति संवेदनशील हैं। is.js एक रेगएक्स कॉपी- का उपयोग करता है-

CVE-2020-26302 सामान्य उद्देश्य जाँच लाइब्रेरी is.js को प्रभावित करता है। संस्करण 0.9.0 और पहले के संस्करणों में रेगुलर एक्सप्रेशन डिनायल ऑफ़ सर्विस (ReDoS) की कमजोरियाँ शामिल हैं, जो URL को मान्य करने के लिए उपयोग किए गए अक्षम रेगुलर एक्सप्रेशन के कारण होती हैं। यह रेगुलर एक्सप्रेशन एक gist से कॉपी किया गया है और दुर्भावनापूर्ण स्ट्रिंग को संसाधित करते समय यह अनंत लूप में प्रवेश कर सकता है, जिससे सर्वर संसाधनों का अत्यधिक उपयोग होता है और संभावित रूप से सेवा बाधित होती है। इस भेद्यता को CVSS पैमाने पर 7.5 के रूप में रेट किया गया है, जो मध्यम जोखिम का संकेत देता है। is.js से आधिकारिक पैच की कमी स्थिति को बढ़ाती है, जिसके लिए वैकल्पिक शमन रणनीतियों की आवश्यकता होती है।

Applications built using is.js, particularly those that handle user-supplied URLs without proper validation, are at risk. Node.js projects relying on this library are especially vulnerable. Shared hosting environments where multiple applications share the same server resources could experience broader impact from a successful attack.

• nodejs: Monitor CPU usage spikes when validating URLs. Use ps or top to identify processes consuming excessive CPU.

ps aux | grep is.js

• generic web: Examine access logs for unusual patterns of URL requests. Look for URLs containing complex or unusual characters.

grep 'complex_url_pattern' /var/log/apache2/access.log

1. 2020-05-12Discovery

   discovery

2. 2022-12-23Disclosure

   disclosure

1. आरक्षित2020-10-01
2. प्रकाशित2022-12-23
3. संशोधित2025-04-14
4. EPSS अद्यतन2026-04-02

CVE-2020-26302 के लिए is.js से कोई आधिकारिक पैच नहीं होने के कारण, प्राथमिक शमन में 0.9.1 से पहले के संस्करण में अपग्रेड करना या यदि संभव हो तो is.js के उपयोग को पूरी तरह से हटाना शामिल है। यदि अपग्रेड संभव नहीं है, तो is.js को URL पास करने से पहले URL को मान्य करने के लिए एक मजबूत इनपुट फ़िल्टर लागू करने की सिफारिश की जाती है। इस फ़िल्टर को किसी भी URL को अस्वीकार करना चाहिए जिसमें संदिग्ध पैटर्न या असामान्य वर्ण शामिल हैं। इसके अतिरिक्त, रेगुलर एक्सप्रेशन के निष्पादन समय को सीमित करने से ReDoS हमलों को रोकने में मदद मिल सकती है, हालांकि इससे लाइब्रेरी की कार्यक्षमता प्रभावित हो सकती है। सर्वर के CPU और मेमोरी उपयोग की निगरानी संभावित ReDoS हमलों का पता लगाने के लिए महत्वपूर्ण है।