CVE-2022-25883: npmjs semver

csirt@kutim:~/threat-intel/cve/CVE-2022-25883

CVSS 7.5 · High EPSS 2,8%

Kerentanan Inefficient Regular Expression Complexity pada npmjs semver. Skor CVSS 3.1 7.5 (High) menurut NVD.

Deskripsi (NVD)

Versions of the package semver before 7.5.2 are vulnerable to Regular Expression Denial of Service (ReDoS) via the function new Range, when untrusted user data is provided as a range.

Rincian

Terbit di NVD: 21 Juni 2023
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 7.5 (High), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-1333: Inefficient Regular Expression Complexity
EPSS (30 hari): 2,8% peluang dieksploitasi; lebih tinggi dari 85,9% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
npmjs	semver	Semua versi sebelum 5.7.2
npmjs	semver	Versi 6.0.0 hingga sebelum 6.3.1
npmjs	semver	Versi 7.0.0 hingga sebelum 7.5.3

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/npm/node-semver/commit/717534ee353682f3bcf33e60a8af4292626d4441 patch · advisory pihak ketiga
https://github.com/npm/node-semver/pull/564 patch · advisory pihak ketiga
https://security.snyk.io/vuln/SNYK-JS-SEMVER-3247795 exploit · patch · advisory pihak ketiga
https://security.netapp.com/advisory/ntap-20241025-0004/ advisory pihak ketiga
https://github.com/npm/node-semver/blob/main/classes/range.js%23L97-L104 broken link
https://github.com/npm/node-semver/blob/main/internal/re.js%23L138 broken link
https://github.com/npm/node-semver/blob/main/internal/re.js%23L160 broken link

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.