CVE-2025-23166

描述

The C++ method SignTraits::DeriveBits() may incorrectly call ThrowException() based on user-supplied inputs when executing in a background thread, crashing the Node.js process. Such cryptographic operations are commonly applied to untrusted inputs. Thus, this mechanism potentially allows an adversary to remotely crash a Node.js runtime.

如何修補 CVE-2025-23166

要修補 CVE-2025-23166,請將受影響套件升級到下列已修補版本。

Alpine/nodejs—升級至 22.15.1-r0 或更新版本
—升級至 20.19.2 或更新版本
—升級至 20.19.2 或更新版本
—升級至 18.20.4+dfsg-1~deb12u2 或更新版本

CVE-2025-23166 正在被利用嗎?

低 — EPSS 為 0.8%,目前沒有觀察到大規模利用活動。

受影響套件(4)

from 0, < 22.15.1-r0
from 0, < 20.19.2, >= 21.0.0, < 22.15.1, >= 23.0.0, < 24.0.2
from 0, < 20.19.2, >= 21.0.0, < 22.15.1, >= 23.0.0, < 24.0.2
from 0, < 18.20.4+dfsg-1~deb12u2

CVSS 分數

來源	版本	嚴重程度	向量
osv	CVSS 3.1	HIGH7.5	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H