path-to-regexp में कई रूट पैरामीटर के कारण रेगुलर एक्सप्रेशन डिनायल ऑफ़ सर्विस (Regular Expression Denial of Service) से असुरक्षित

यह भेद्यता हमलावर को path-to-regexp का उपयोग करने वाले एप्लिकेशन पर Denial of Service (DoS) हमला करने की अनुमति देती है। हमलावर विशेष रूप से तैयार किए गए अनुरोध भेजकर ऐसा कर सकता है जिनमें तीन या अधिक पैरामीटर होते हैं जो एक एकल खंड में अलग-अलग होते हैं। यह catastrophic backtracking को ट्रिगर करेगा, जिससे सर्वर संसाधनों का अत्यधिक उपयोग होगा और अंततः क्रैश हो सकता है। इस भेद्यता का उपयोग एप्लिकेशन की उपलब्धता को बाधित करने और उपयोगकर्ताओं को सेवा से वंचित करने के लिए किया जा सकता है। चूंकि path-to-regexp व्यापक रूप से Node.js अनुप्रयोगों में उपयोग किया जाता है, इसलिए इस भेद्यता का व्यापक प्रभाव हो सकता है।

Applications built with Node.js that utilize the path-to-regexp package for URL routing or parameter parsing are at risk. This includes web applications, APIs, and microservices that rely on this package for handling incoming requests. Projects using older versions of path-to-regexp are particularly vulnerable.

• nodejs / server:

  npm list path-to-regexp

• nodejs / server:

npm audit path-to-regexp

• nodejs / server:

  grep -r 'path-to-regexp' package.json

1. 2026-03-27Disclosure

   disclosure

1. आरक्षित2026-03-25
2. प्रकाशित2026-03-27
3. संशोधित2026-03-31
4. EPSS अद्यतन2026-04-03

CVE-2026-4867 को कम करने का सबसे प्रभावी तरीका path-to-regexp लाइब्रेरी को संस्करण 0.1.13 या उच्चतर में अपग्रेड करना है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके उन अनुरोधों को ब्लॉक कर सकते हैं जिनमें तीन या अधिक पैरामीटर वाले विशेष रूप से तैयार किए गए URL होते हैं। इसके अतिरिक्त, आप नियमित अभिव्यक्ति के इनपुट को मान्य करके और यह सुनिश्चित करके कि वे बहुत जटिल नहीं हैं, अपने एप्लिकेशन कोड में सुरक्षात्मक उपाय लागू कर सकते हैं। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता को ठीक कर दिया गया है, नियमित अनुरोधों का परीक्षण करें।

अंतिम अपडेट

8.4.2हाल ही में