Перейти к содержимому
Noroxi

Уязвимости Moment.jsMoment.js: известные уязвимости и безопасные версии

npm: moment

Для Moment.js известно записей об уязвимостях: 7. Из них 6 — в данных npm (GitHub Advisory Database через OSV, тот же источник, что у npm audit), 1 — только в Retire.js (сборки с CDN и бюллетени без CVE).

По веткам: 2.x — безопасна с 2.31.0.

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

ВеткаПоддержкаПоследняя в веткеЗаписиБезопасная версия
2.x——7высокая2.31.0

Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

  • CVE-2026-174952026-09-15

    moment vulnerable to Path Traversal via crafted non-string locale name

    Затронутые версии: >= 2.29.2, < 2.31.0

    средняя 5.9

    Исправлено в: 2.31.0

  • CVE-2023-224672023-01-04

    luxon.js inefficient regular expression complexity vulnerability

    Затронутые версии: >= 2.18.0, < 2.29.4

    высокая 7.5

    Исправлено в: 2.29.4

    EPSS 1,7%

  • CVE-2022-311292022-07-06

    Inefficient Regular Expression Complexity in moment

    Затронутые версии: >= 2.18.0, < 2.29.4

    высокая 7.5

    Исправлено в: 2.29.4

    EPSS 5,5%

  • CVE-2022-24785есть код эксплойта2022-04-04

    Path Traversal in Moment.js

    Затронутые версии: < 2.29.2

    высокая 7.5

    Исправлено в: 2.29.2

    EPSS 13,9%

  • CVE-2017-182142018-03-04

    The moment module before 2.19.3 for Node.js is prone to a regular expression denial of service via a crafted date string, a different vulner

    Затронутые версии: < 2.19.3

    высокая 7.5

    Исправлено в: 2.19.3

    EPSS 3,6%

  • CVE-2016-40552017-01-23

    The duration function in the moment package before 2.11.2 for Node.js allows remote attackers to cause a denial of service (CPU consumption)

    Затронутые версии: < 2.11.2

    средняя 6.5

    Исправлено в: 2.11.2

    EPSS 9,9%

  • без CVE

    Regular Expression Denial of Service (ReDoS)

    Затронутые версии: < 2.15.2

    средняя

    Исправлено в: 2.15.2

Источники и метод

Диапазоны: GitHub Advisory Database (выгрузка OSV для npm, ежедневно) и Retire.js (Apache-2.0). Эксплуатация: CISA KEV, FIRST EPSS и зрелость эксплойта из базы CVE Noroxi. Даты поддержки: endoflife.date.

Эта страница и сканер JavaScript-библиотек используют одно правило сопоставления: строка без границ не считается доказательством, версии сравниваются в одном месте. Запись без диапазона версий не считается «затрагивающей» при проверке версии.

Данные на 25 октября 2026 г..

Другие библиотеки