Sicherheitsupdates

Die folgende Liste enthält die Express-Schwachstellen, die im angegebenen Versionsupdate behoben wurden.

4.x

• 4.21.2
  • The dependency path-to-regexp has been updated to address a vulnerability.
• 4.21.1
  • The dependency cookie has been updated to address a vulnerability, This may affect your application if you use res.cookie.
• 4.20.0
  • Fixed XSS vulnerability in res.redirect (advisory, CVE-2024-43796).
  • The dependency serve-static has been updated to address a vulnerability.
  • The dependency send has been updated to address a vulnerability.
  • The dependency path-to-regexp has been updated to address a vulnerability.
  • The dependency body-parser has been updated to addres a vulnerability, This may affect your application if you had url enconding activated.
• 4.19.0, 4.19.1
  • Fixed open redirect vulnerability in res.location and res.redirect (advisory, CVE-2024-29041).
• 4.17.3
  • The dependency qs has been updated to address a vulnerability. This may affect your application if the following APIs are used: req.query, req.body, req.param.
• 4.16.0
  • The dependency forwarded has been updated to address a vulnerability. This may affect your application if the following APIs are used: req.host, req.hostname, req.ip, req.ips, req.protocol.
  • The dependency mime has been updated to address a vulnerability, but this issue does not impact Express.
  • The dependency send has been updated to provide a protection against a Node.js 8.5.0 vulnerability. This only impacts running Express on the specific Node.js version 8.5.0.
• 4.15.5
  • The dependency debug has been updated to address a vulnerability, but this issue does not impact Express.
  • The dependency fresh has been updated to address a vulnerability. This will affect your application if the following APIs are used: express.static, req.fresh, res.json, res.jsonp, res.send, res.sendfile res.sendFile, res.sendStatus.
• 4.15.3
  • The dependency ms has been updated to address a vulnerability. This may affect your application if untrusted string input is passed to the maxAge option in the following APIs: express.static, res.sendfile, and res.sendFile.
• 4.15.2
  • The dependency qs has been updated to address a vulnerability, but this issue does not impact Express. Updating to 4.15.2 is a good practice, but not required to address the vulnerability.
• 4.11.1
  • Offenlegungsgefahr beim Rootpfad in express.static, res.sendfile und res.sendFile behoben.
• 4.10.7
  • Offene Umadressierungsschwachstelle in express.static (Empfehlung, CVE-2015-1164) behoben.
• 4.8.8
  • Schwachstellen durch Directory-Traversal-Technik in express.static (Empfehlung , CVE-2014-6394) behoben.
• 4.8.4
  • Node.js 0.10 kann in bestimmten Situationen Lecks bei fd aufweisen, die sich auf express.static und res.sendfile auswirken. Böswillige Anforderungen können zu Lecks bei fd führen und letztendlich EMFILE-Fehler nach sich ziehen und bewirken, dass Server nicht antworten.
• 4.8.0
  • Sparse-Arrays mit extrem hohen Indizes in der Abfragezeichenfolge können bewirken, dass für die Prozessausführung nicht genügend Arbeitsspeicher zur Verfügung steht und es zu einem Serverabsturz kommt.
  • Extrem verschachtelte Abfragezeichenfolgenobjekte können bewirken, dass der Prozess blockiert und der Server dadurch vorübergehend nicht antwortet.

3.x

• 3.19.1
  • Offenlegungsgefahr beim Rootpfad in express.static, res.sendfile und res.sendFile behoben.
• 3.19.0
  • Offene Umadressierungsschwachstelle in express.static (Empfehlung, CVE-2015-1164) behoben.
• 3.16.10
  • Schwachstellen durch Directory-Traversal-Technik in express.static behoben.
• 3.16.6
  • Node.js 0.10 kann in bestimmten Situationen Lecks bei fd aufweisen, die sich auf express.static und res.sendfile auswirken. Böswillige Anforderungen können zu Lecks bei fd führen und letztendlich EMFILE-Fehler nach sich ziehen und bewirken, dass Server nicht antworten.
• 3.16.0
  • Sparse-Arrays mit extrem hohen Indizes in der Abfragezeichenfolge können bewirken, dass für die Prozessausführung nicht genügend Arbeitsspeicher zur Verfügung steht und es zu einem Serverabsturz kommt.
  • Extrem verschachtelte Abfragezeichenfolgenobjekte können bewirken, dass der Prozess blockiert und der Server dadurch vorübergehend nicht antwortet.
• 3.3.0
  • Die Antwort 404 bei einem nicht unterstützten Überschreibungsversuch war anfällig gegen Cross-Site Scripting-Attacken.