An incomplete fix has been identified for CVE-2025-23084 in Node.js, specifically affecting Windows device names like CON, PRN, and AUX.
Оценка Noroxi
Приоритет: Наблюдать (оценка срочности 34/100)
- Есть публичный код proof-of-concept (Exploit-DB, GitHub); записей об эксплуатации в реальных атаках нет.
- Вероятность эксплуатации в ближайшие 30 дней: 14,3% (FIRST EPSS); выше, чем у 96,5% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
- Исправленная версия: nodejs node 20.19.4, 22.17.1, 24.4.1; nodejs nodejs 10.*, 11.*, 12.*.
Пока низкий приоритет. Обновитесь до nodejs node 20.19.4, 22.17.1, 24.4.1; nodejs nodejs 10.*, 11.*, 12.* или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
An incomplete fix has been identified for CVE-2025-23084 in Node.js, specifically affecting Windows device names like CON, PRN, and AUX. This vulnerability affects Windows users of `path.join` API.
- Опубликовано
- 18 июл. 2025 г.
- Обновлено
- 17 июн. 2026 г.
- EPSS
- 14,3 % · 96-й процентиль
- CWE
- CWE-22
Инструменты для отчёта
Оценка срочности
34
Наблюдать
Пока низкий приоритет.
- CVSS
- 30 / 40 · 7.5 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 4 / 30 · 14,3 %
Решение CISA SSVC
- Эксплуатация
- нет
- Автоматизируемо
- да
- Техническое влияние
- частичное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- —
- CNA · hackerone
- 7,5
- NVD ещё не выставил свою оценку; показана оценка CNA.
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Есть PoC, боевого модуля нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
—
Используете node? Добавьте в свой стек и первыми узнавайте о подобных CVE. (Node.js)
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.
nodejs node
- 20.0.0 и новее · до 20.19.4затронута · semver
- 22.0.0 и новее · до 22.17.1затронута · semver
- 24.0.0 и новее · до 24.4.1затронута · semver
nodejs nodejs
- 4.0 и новее · до 4.*затронута · semver
- 5.0 и новее · до 5.*затронута · semver
- 6.0 и новее · до 6.*затронута · semver
- 7.0 и новее · до 7.*затронута · semver
- 8.0 и новее · до 8.*затронута · semver
- 9.0 и новее · до 9.*затронута · semver
- 10.0 и новее · до 10.*затронута · semver
- 11.0 и новее · до 11.*затронута · semver
- 12.0 и новее · до 12.*затронута · semver
- 13.0 и новее · до 13.*затронута · semver
Тот же продукт
nodejs: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2024-27983An attacker can make the Node.js HTTP/2 server completely unavailable by sending a small amount of HTTP/2 frames packets with a few HTTP/2 f58В плане
- CVE-2024-27980Due to the improper handling of batch files in child_process.spawn / child_process.spawnSync, a malicious command line argument can inject a32Наблюдать
- CVE-2024-36138Bypass incomplete fix of CVE-2024-27980, that arises from improper handling of batch files with all possible extensions on Windows via child32Наблюдать
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2025-2316718 мая 2025 г. · A flaw in Node.js 20's HTTP parser allows improper termination of HTTP/1 headers using `\r\n\rX` instead of the required `\r\n\r\n`.26Наблюдать
- ← РаньшеCVE-2025-2720918 июл. 2025 г. · The V8 release used in Node.js v24.0.0 has changed how string hashes are computed using rapidhash.30Наблюдать
- Позже →CVE-2025-5513120 янв. 2026 г. · A flaw in Node.js's buffer allocation logic can expose uninitialized memory when allocations are interrupted, when using the `vm` module wit29Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| nodejs node | 20.19.4 | Вендор (CNA) |
| nodejs node | 22.17.1 | Вендор (CNA) |
| nodejs node | 24.4.1 | Вендор (CNA) |
| nodejs nodejs | 10.* | Вендор (CNA) |
| nodejs nodejs | 11.* | Вендор (CNA) |
| nodejs nodejs | 12.* | Вендор (CNA) |
| nodejs nodejs | 13.* | Вендор (CNA) |
| nodejs nodejs | 14.* | Вендор (CNA) |
| nodejs nodejs | 15.* | Вендор (CNA) |
| nodejs nodejs | 16.* | Вендор (CNA) |
| nodejs nodejs | 17.* | Вендор (CNA) |
| nodejs nodejs | 18.* | Вендор (CNA) |
| nodejs nodejs | 19.* | Вендор (CNA) |
| nodejs nodejs | 4.* | Вендор (CNA) |
| nodejs nodejs | 5.* | Вендор (CNA) |
| nodejs nodejs | 6.* | Вендор (CNA) |
| nodejs nodejs | 7.* | Вендор (CNA) |
| nodejs nodejs | 8.* | Вендор (CNA) |
| nodejs nodejs | 9.* | Вендор (CNA) |
Статус эксплойта
Есть proof of concept
Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.
Доказательство
- Запись Exploit-DB ×1
- Репозиторий PoC на GitHub ×2
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Запись Exploit-DB | remote | 2025-07-16 |
| Репозиторий PoC на GitHub | stars:2 | 2025-07-16 |
| Репозиторий PoC на GitHub | stars:0 | 2025-09-16 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Первый PoC-3 дн.
- Публикация
- Сегодня22 окт. 2026 г.+460 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
- CVE-2023-30584с разницей 314 дн.A vulnerability has been discovered in Node.js version 20, specifically within the experimental permission model.30Наблюдать
- CVE-2024-37372с разницей 191 дн.The Permission Model assumes that any path starting with two backslashes \ has a four-character prefix that can be ignored, which is not alw14Наблюдать
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- нет
- Доступность
- нет
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Нет
- Влияние на доступность
- Нет
Класс уязвимости (CWE)
CWE-22 · Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')Вектор CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
nvd-secondary
Первопричина
Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.
Ошибка в коде
Весь класс CWE-22Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.
Уязвимый код
const file = path.join(ROOT, req.query.name);res.sendFile(file);Исправленный код
const file = path.resolve(ROOT, req.query.name);if (!file.startsWith(ROOT + path.sep)) { return res.sendStatus(400);}res.sendFile(file);Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
- Path TraversalCAPEC-126вероятность: High · Very High
- Using Slashes and URL Encoding Combined to Bypass Validation LogicCAPEC-64вероятность: High · High
- Manipulating Web Input to File System CallsCAPEC-76вероятность: High · Very High
- Using Escaped Slashes in Alternate EncodingCAPEC-78вероятность: High · High
- Using Slashes in Alternate EncodingCAPEC-79вероятность: High · High
Техники ATT&CK
—
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 1)Свернуть
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.