CVE-2023-30589

nodejs node.js, fedoraproject fedora

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2023-30589

Katalog CVE

CVSS 7.5 · High EPSS 3,9%

Kerentanan pada nodejs node.js, fedoraproject fedora. Skor CVSS 3.1 7.5 (High) menurut NVD.

Deskripsi (NVD)

The llhttp parser in the http module in Node v20.2.0 does not strictly use the CRLF sequence to delimit HTTP requests. This can lead to HTTP Request Smuggling (HRS). The CR character (without LF) is sufficient to delimit HTTP header fields in the llhttp parser. According to RFC7230 section 3, only the CRLF sequence should delimit each header-field. This impacts all Node.js active versions: v16, v18, and, v20

Rincian

Terbit di NVD
1 Juli 2023
Terakhir diubah
8 Oktober 2026
Status NVD
Modified
CVSS 3.1
7.5 (High), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N · uraikan di kalkulator
EPSS (30 hari)
3,9% peluang dieksploitasi; lebih tinggi dari 90,0% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
nodejs node.js Versi 16.0.0 hingga sebelum 16.20.1
nodejs node.js Versi 18.0.0 hingga sebelum 18.16.1
nodejs node.js Versi 20.0.0 hingga sebelum 20.3.1
fedoraproject fedora Versi 37
fedoraproject fedora Versi 38

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 9 Okt 2026, 12:28 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.