CVE-2019-20922
En bref
- Source
- NVD
- EPSS
- EPSS 3.69 % · centile 90 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- mitre
- Statut NVD
- Modified
Rechercher sur…
Description
Handlebars before 4.4.5 allows Regular Expression Denial of Service (ReDoS) because of eager matching. The parser may be forced into an endless loop while processing crafted templates. This may allow attackers to exhaust system resources.
Faiblesses (CWE)
- CWE-400 — Consommation de ressources non maîtrisée (déni de service)
Références
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · nvd@nist.gov (Primary) |
| CVSS 2.0 | HIGH 7.8 | AV:N/AC:L/Au:N/C:N/I:N/A:C | NVD · nvd@nist.gov (Primary) |
Avis
- GHSA-62gr-4qp9-h98f — Regular Expression Denial of Service in Handlebars
Références européennes
- ENISA EUVD · EUVD-2022-0849
- GCVE · GCVE-0-2019-20922
Avis du CERT-FR
- CERTFR-2022-AVI-278 — Multiples vulnérabilités dans IBM Spectrum discover · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:handlebarsjs:handlebars:*:*:*:*:*:node.js:*:*≥ 4.0.0 < 4.4.5
Produits affectés
| Produit | Versions |
|---|---|
| affected n/a |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |