loader-utils रेगुलर एक्सप्रेशन डिनायल ऑफ़ सर्विस (Regular Expression Denial of Service) (ReDoS) के प्रति संवेदनशील है

CVE-2022-37599 loader-utils के interpolateName फंक्शन में एक गंभीर ReDoS (Regular Expression Denial of Service) भेद्यता है। हमलावर resourcePath वेरिएबल के माध्यम से एक विशेष रूप से तैयार की गई दुर्भावनापूर्ण स्ट्रिंग भेज सकता है। जब सिस्टम इस स्ट्रिंग को प्रोसेस करने की कोशिश करता है, तो रेगुलर एक्सप्रेशन इंजन एक अनंत लूप या अत्यधिक गणना चक्र में फंस जाता है, जिससे CPU का उपयोग 100% तक पहुंच जाता है। इसका सीधा परिणाम यह होता है कि वेबपैक बिल्ड प्रक्रिया या संबंधित सर्वर पूरी तरह से हैंग हो सकता है या क्रैश हो सकता है। इसका ब्लास्ट रेडियस उन सभी डेवलपमेंट पाइपलाइन्स और CI/CD सिस्टम्स तक फैला है जो प्रभावित loader-utils वर्ज़न का उपयोग कर रहे हैं। यदि कोई बाहरी इनपुट इस फंक्शन तक पहुँचता है, तो हमलावर पूरी सर्विस को डाउन कर सकता है, जिससे एप्लिकेशन की उपलब्धता समाप्त हो जाती है और अन्य वैध यूज़र्स के लिए सिस्टम अनुपलब्ध हो जाता है।

1. आरक्षित2022-08-08
2. प्रकाशित2022-10-11
3. संशोधित2025-11-04
4. EPSS अद्यतन2026-04-02

इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका loader-utils को अपडेट करना है। उपयोगकर्ताओं को तुरंत अपने प्रोजेक्ट में loader-utils को वर्ज़न 1.4.2, 2.0.4 या 3.2.1 पर अपग्रेड करना चाहिए, क्योंकि इन वर्ज़न्स में सुरक्षा पैच जारी किए गए हैं। यदि आप npm का उपयोग कर रहे हैं, तो npm install loader-utils@latest कमांड चलाएं। अपग्रेड के बाद, यह सत्यापित करने के लिए कि भेद्यता दूर हो गई है, package-lock.json या yarn.lock फाइल की जांच करें ताकि यह सुनिश्चित हो सके कि कोई पुराना वर्ज़न अभी भी डिपेंडेंसी ट्री में मौजूद नहीं है। यदि तत्काल अपग्रेड संभव नहीं है, तो इनपुट स्ट्रिंग्स को सैनिटाइज करने के लिए सख्त वैलिडेशन लागू करें ताकि असामान्य रूप से लंबी या जटिल स्ट्रिंग्स interpolateName फंक्शन तक न पहुँचें।