CVE-2025-22150
mediumPriorität · verfolgen · 0OT-Risiko · erhöhtEPSS 0.008 · 56. PerzentilDEEUUSEPSS · bewertet 2026-10-27
Undici is an HTTP/1.1 client. Starting in version 4.5.0 and prior to versions 5.28.5, 6.21.1, and 7.2.3, undici uses `Math.random()` to choose the boundary for a multipart/form-data request. It is known that the output of `Math.random()` can be predicted if several of its generated values are known. If there is a mechanism in an app that sends multipart requests to an attacker-controlled website, they can use this to leak the necessary values. Therefore, an attacker can tamper with the requests going to the backend APIs if certain conditions are met. This is fixed in versions 5.28.5, 6.21.1, and 7.2.3. As a workaround, do not issue multipart requests to attacker controlled servers.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen
SSVC
Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (28)
Betroffene Produkte und Versionsbereiche.
- IBM Business Automation Workflow V24.0.0-V24.0.1alle Versionencert_bundDEcpe:/a:ibm:business_automation_workflow:v24.0.0_-_v24.0.1
- Red Hat Enterprise Linux Developer Hub 1alle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:developer_hub_1
Advisories (2)
Hersteller- und Ökosystem-Meldungen dazu.
- WID-SEC-W-2025-0156Node.js: Mehrere SchwachstellenDeutsch2025-01-21csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Node.js ausnutzen, um Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen preiszugeben, einen Denial-of-Service-Zustand herbeizuführen oder nicht näher spezifizierte Angriffe zu starten.
- GHSA-c76h-2ccp-4975Use of Insufficiently Random Values in undici2025-01-21ghsa · osvUS
### Impact [Undici `fetch()` uses Math.random()](https://github.com/nodejs/undici/blob/8b06b8250907d92fead664b3368f1d2aa27c1f35/lib/web/fetch/body.js#L113) to choose the boundary for a multipart/form-data request. It is known that the output of Math.random() can be predicted if several of its generated values are known. If there is a mechanism in an app that sends multipart requests to an attacker-controlled website, they can use this to leak the necessary values. Therefore, An attacker can tamper with the requests going to the backend APIs if certain conditions are met. ### Patches This is fixed in 5.28.5; 6.21.1; 7.2.3. ### Workarounds Do not issue multipart requests to attacker controlled servers. ### References * https://hackerone.com/reports/2913312 * https://blog.securityevaluators.com/hacking-the-javascript-lottery-80cc437e3b7f
auch bekannt als (3)
Weitere Namen und Kennungen dieser Entität.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (23)
Externe Belege — Patches, Meldungen, Analysen.
- https://access.redhat.com/security/cve/cve-2025-22150cnnvd
- https://blog.securityevaluators.com/hacking-the-javascript-lottery-80cc437e3b7fcnnvd
- https://github.com/nodejs/undici/blob/8b06b8250907d92fead664b3368f1d2aa27c1f35/lib/web/fetch/body.js#L113cnnvd
- https://github.com/nodejs/undici/commit/711e20772764c29f6622ddc937c63b6eefdf07d0cnnvd
- https://github.com/nodejs/undici/commit/c2d78cd19fe4f4c621424491e26ce299e65e934acnnvd
- https://github.com/nodejs/undici/commit/c3acc6050b781b827d80c86cbbab34f14458d385cnnvd
- https://github.com/nodejs/undici/security/advisories/GHSA-c76h-2ccp-4975cnnvd
- https://hackerone.com/reports/2913312cnnvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan