CVE-2026-104150
AdonisJS HTTP Server: Uncontrolled Resource Consumption and Inefficient Regular Expression Complexity
CVSS 3.1High
8.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.2.2, 9.1.1
Обновить пакет AdonisJS HTTP Server до версий 8.2.2, 9.1.1 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
ReDoS-уязвимость в HTTP-маршрутизаторе AdonisJS, вызывающая исчерпание ресурсов CPU. Ошибка в регулярном выражении позволяет блокировать цикл событий Node.js до вызова middleware.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Регулярное выражение в router.matchers.slug() использует смежные жадные квантификаторы с перекрывающимися классами символов. Длинная строка с недопустимым финальным символом провоцирует квадратичный возврат (backtracking). Сопоставление маршрутов срабатывает до middleware аутентификации и rate-limiting.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Отказ в обслуживании (DoS) всего рабочего процесса (worker) Node.js и блокировка обработки входящих запросов сторонних пользователей.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
adonisjshttp-server
все ранние➔Fix: 8.2.2
adonisjshttp-server
>= 9.0.0➔Fix: 9.1.1
——
>= 9.0.0➔Fix: 9.1.1
——
>= 0➔Fix: 8.2.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/adonisjs/http-server/security/advisories/GHSA-524c-h47v-m3h8
- github.comhttps://github.com/adonisjs/http-server/commit/86af38ca861528f673dcac6a4806197de038d1f7
- github.comhttps://github.com/adonisjs/http-server/commit/d8c749aa9f66d5d214bad1cad727264aef4be727
- github.comhttps://github.com/adonisjs/http-server/releases/tag/v8.2.2
- github.comhttps://github.com/adonisjs/http-server/releases/tag/v9.1.1
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-104150: AdonisJS HTTP Server: Uncontrolled Resource Consumption and Inefficient Regular Expression Complexity. URL: https://cve.futuretools.ru/cve/CVE-2026-104150
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_104150,
title = {{CVE-2026-104150: AdonisJS HTTP Server: Uncontrolled Resource Consumption and Inefficient Regular Expression Complexity}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-104150}},
note = {Оперативный инженерный анализ киберугроз}
}