CVE-2022-25883
highpriority · track · 31EPSS 0.028 · 86 %ileDEEUNLRUUSEPSS · scored 2026-10-27
Versions of the package semver before 7.5.2 are vulnerable to Regular Expression Denial of Service (ReDoS) via the function new Range, when untrusted user data is provided as a range.
cvss
Technical severity, 0–10. One row per scoring source.
base score 0–10 · higher = more severe · hover a vector to decode⚠ sources disagree · medium–high · 5.3–7.5
ssvc
A stakeholder decision — act, attend, or track — from exploitation and impact.
weaknesses
The CWE weakness classes this flaw belongs to.
affected products (23)
Products and version ranges known to be affected.
- Red Hat Enterprise Linux Advanced Cluster Management for Kubernetes 2all versionscert_bundDEcpe:/o:redhat:enterprise_linux:advanced_cluster_management_for_kubernetes_2
- Red Hat OpenShift multicluster engine for Kubernetes 1all versionscert_bundDEcpe:/a:redhat:openshift:multicluster_engine_for_kubernetes_1
advisories (11)
Vendor and ecosystem advisories describing this.
- NCSC-2026-0034Kwetsbaarheden verholpen in Atlassian productenNL2026-01-22csaf · ncsc_nlNL
Atlassian heeft kwetsbaarheden verholpen in verschillende producten, welke gebruik maken van Oracle middle-ware producten zoals de Oracle Utilities Application Framework, WebLogic Server, Data Integrator en Business Intelligence Enterprise Edition.
- WID-SEC-W-2023-2356IBM QRadar SIEM: Mehre SchwachstellenDeutsch2023-09-14csaf · cert_bundDE
Ein anonymer Angreifer kann mehrere Schwachstellen in IBM QRadar SIEM ausnutzen, um einen Denial-of-Service-Zustand zu erzeugen.
- WID-SEC-W-2023-2964Splunk Enterprise: Mehrere SchwachstellenDeutsch2023-11-16csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Splunk Splunk Enterprise ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen, um Code auszuführen und um nicht näher spezifizierte Auswirkungen zu erzielen.
- WID-SEC-W-2023-3025IBM InfoSphere Information Server: Mehrere SchwachstellenDeutsch2023-11-28csaf · cert_bundDE
Ein entfernter Angreifer kann mehrere Schwachstellen in IBM InfoSphere Information Server ausnutzen, um beliebigen Programmcode auszuführen, Informationen offenzulegen, Cross-Site-Scripting-Angriffe durchzuführen oder einen Denial of Service Zustand herbeizuführen.
- WID-SEC-W-2024-0049Splunk Enterprise: Mehrere SchwachstellenDeutsch2024-01-09csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Splunk Enterprise ausnutzen, um beliebigen Programmcode auszuführen, einen Denial of Service Zustand herbeizuführen oder unbekannte Auswirkungen zu verursachen.
- WID-SEC-W-2024-1944Red Hat multicluster engine for Kubernetes: Schwachstelle ermöglicht Denial of ServiceDeutsch2024-08-28csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Red Hat multicluster engine for Kubernetes ausnutzen, um einen Denial of Service Angriff durchzuführen.
- WID-SEC-W-2026-0177Atlassian Bamboo, Bitbucket, Confluence und Jira: Mehrere SchwachstellenDeutsch2026-01-20csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Atlassian Bamboo, Atlassian Bitbucket, Atlassian Confluence und Atlassian Jira ausnutzen, um beliebigen Programmcode auszuführen, um Sicherheitsvorkehrungen zu umgehen, um einen Denial of Service Angriff durchzuführen, und um einen Cross-Site Scripting Angriff durchzuführen.
- WID-SEC-W-2026-0180Dell Data Protection Advisor: Mehrere SchwachstellenDeutsch2026-01-20csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Dell Data Protection Advisor ausnutzen, um beliebigen Code auszuführen, einen Denial-of-Service-Zustand zu erzeugen, Sicherheitsmaßnahmen zu umgehen und nicht näher spezifizierte Angriffe zu starten.
- WID-SEC-W-2026-0438Atlassian Bamboo und Confluence (Data Center und Server): Mehrere SchwachstellenDeutsch2026-02-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Atlassian Bamboo und Atlassian Confluence ausnutzen, um einen Denial of Service Angriff durchzuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen und Cross-Site-Scripting-Angriffe durchzuführen.
- WID-SEC-W-2026-0770Atlassian Jira: Mehrere SchwachstellenDeutsch2026-03-17csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Atlassian Jira ausnutzen, um beliebigen Programmcode auszuführen, Daten zu manipulieren und offenzulegen, Cross-Site-Scripting-Angriffe durchzuführen oder einen Denial-of-Service-Zustand herbeizuführen.
- GHSA-c2qf-rxjj-qqgwsemver vulnerable to Regular Expression Denial of Service2023-06-21ghsa · osvUS
Versions of the package semver before 7.5.2 on the 7.x branch, before 6.3.1 on the 6.x branch, and all other versions before 5.7.2 are vulnerable to Regular Expression Denial of Service (ReDoS) via the function new Range, when untrusted user data is provided as a range.
also known as (4)
Other names and identifiers for this entity.
sources
Which sources assert this record, and when.
references (30)
External citations — patches, advisories, analysis.
- https://cxsecurity.com/cveshow/CVE-2022-25883/cnnvd
- https://github.com/npm/node-semver/blob/main/classes/range.js%23L97-L104cnnvd
- https://github.com/npm/node-semver/blob/main/internal/re.js%23L138cnnvd
- https://github.com/npm/node-semver/blob/main/internal/re.js%23L160cnnvd
- https://github.com/npm/node-semver/commit/717534ee353682f3bcf33e60a8af4292626d4441cnnvd
- https://github.com/npm/node-semver/pull/564cnnvd
- https://github.com/npm/node-semver/releases/tag/v7.5.3Patchcnnvd
- https://security.netapp.com/advisory/ntap-20241025-0004/cnnvd
Attackers weaponise vulnerabilities like this against internet-exposed services. See what is exposed on your perimeter with a free passive scan.
Free scan