CVE-2025-25200
Publiée le 2025-02-12 · Dernière modification le 2026-06-17
Les applications web basées sur le framework Koa pour Node.js sont affectées par une expression régulière inefficace utilisée pour analyser certains en-têtes HTTP. Un attaquant peut envoyer une requête spécialement conçue pour faire planter votre serveur ou le rendre insensible, entraînant ainsi un déni de service. Cette attaque est facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur et peut être effectuée à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Koa is expressive middleware for Node.js using ES2017 async functions. Prior to versions 0.21.2, 1.7.1, 2.15.4, and 3.0.0-alpha.3, Koa uses an evil regex to parse the `X-Forwarded-Proto` and `X-Forwarded-Host` HTTP headers. This can be exploited to carry out a Denial-of-Service attack. Versions 0.21.2, 1.7.1, 2.15.4, and 3.0.0-alpha.3 fix the issue.