CVE-2022-37599：loader-utils DoS漏洞，版本1.4.2已修复

CVE-2022-37599 是 webpack loader-utils 库中的一个正则表达式拒绝服务 (ReDoS) 漏洞。该漏洞存在于 interpolateName.js 文件中的 interpolateName 函数，特别是 resourcePath 变量的处理过程中。攻击者可以通过构造恶意的字符串，利用该函数进行正则表达式匹配，导致系统消耗过多的 CPU 资源，最终导致服务崩溃或响应时间显著延长。攻击场景可能包括：恶意用户上传包含特殊构造的 resourcePath 路径的文件到 Webpack 构建流程中；或者攻击者控制了构建过程中的环境变量，并注入恶意的 resourcePath 值。受影响的数据可能包括构建过程中使用的任何文件，因为攻击者可以利用 ReDoS 攻击来阻止构建过程，从而间接影响项目依赖和最终交付的应用程序。由于 Webpack 通常用于前端和后端项目的构建，因此该漏洞的潜在影响范围非常广泛，可能影响多个应用程序和系统，造成服务中断和潜在的数据泄露风险。攻击者无需身份验证即可利用此漏洞，属于高危漏洞。

1. 已保留2022-08-08
2. 发布日期2022-10-11
3. 修改日期2025-11-04
4. EPSS 更新日期2026-04-02

为了解决 CVE-2022-37599，建议立即将 loader-utils 升级到安全版本。受影响的版本包括低于 1.4.2 的版本。升级到 1.4.2、2.0.4 或 3.2.1 版本可以有效修复此漏洞。如果无法立即升级，可以考虑对输入进行严格的验证和清理，特别是 resourcePath 变量，以防止恶意字符串注入。例如，可以对 resourcePath 进行白名单过滤，只允许包含特定字符和模式的字符串。在升级或实施临时缓解措施后，务必进行彻底的测试，以确保构建过程正常运行，并且漏洞已成功修复。建议在测试环境中验证升级后的构建流程，然后再将其部署到生产环境。升级过程应遵循标准的软件更新流程，并确保在升级期间不会中断关键业务服务。