CVE-2014-10064
Publiée le 2018-05-31 · Dernière modification le 2026-06-17
Les applications Node.js utilisant le module `qs` (versions antérieures à 1.0.0) sont vulnérables à une attaque par déni de service. En envoyant une chaîne de caractères spécifiquement conçue contenant des objets profondément imbriqués, un attaquant peut figer la boucle d'événements (event loop) de l'application et l'empêcher de traiter d'autres requêtes. Cette action peut être exécutée à distance via le réseau, sans nécessiter d'authentification ni d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The qs module before 1.0.0 does not have an option or default for specifying object depth and when parsing a string representing a deeply nested object will block the event loop for long periods of time. An attacker could leverage this to cause a temporary denial-of-service condition, for example, in a web application, other requests would not be processed while this blocking is occurring.