CVE-2020-7760 - 漏洞详情

CVE-2020-7760 (CNNVD-202010-1679)

MEDIUM

中文标题:

CodeMirror 资源管理错误漏洞

英文标题:

Regular Expression Denial of Service (ReDoS)

CVSS分数: 5.3

发布时间: 2020-10-30 11:10:32

漏洞类型: 资源管理错误

状态: PUBLISHED

数据质量分数: 0.30

数据版本: v3

漏洞描述

中文描述:

CodeMirror是CodeMirror（Codemirror）团队的一个使用JavaScript为浏览器实现的多功能文本编辑器。该软件专门用于编辑代码，并具有100多种语言模式和各种插件，可实现更高级的编辑功能，每种语言都带有功能齐全的代码和语法高亮显示，以帮助阅读和编辑复杂代码。 codemirror 5.58.2 之前版本和org.apache.marmotta.webjars:codemirror 5.58.2 之前版本存在资源管理错误漏洞。该漏洞源于blob/cdb228ac736369c685865b122b736cd0d397836c、mode/javascript/javascript.jsL 129行中的 (s|/*.*?*/)* 正则表达式逻辑错误。

英文描述:

This affects the package codemirror before 5.58.2; the package org.apache.marmotta.webjars:codemirror before 5.58.2. The vulnerable regular expression is located in https://github.com/codemirror/CodeMirror/blob/cdb228ac736369c685865b122b736cd0d397836c/mode/javascript/javascript.jsL129. The ReDOS vulnerability of the regex is mainly due to the sub-pattern (s|/*.*?*/)*

CWE类型:

CWE-400

受影响产品

厂商	产品	版本	版本范围	平台	CPE
codemirror	codemirror	*	-	-	`cpe:2.3:a:codemirror:codemirror::::::::`
oracle	application_express	*	-	-	`cpe:2.3:a:oracle:application_express::::::::`
oracle	enterprise_manager_express_user_interface	19c	-	-	`cpe:2.3:a:oracle:enterprise_manager_express_user_interface:19c:::::::*`
oracle	essbase	21.2	-	-	`cpe:2.3:a:oracle:essbase:21.2:::::::*`
oracle	hyperion_data_relationship_management	*	-	-	`cpe:2.3:a:oracle:hyperion_data_relationship_management::::::::`
oracle	spatial_studio	*	-	-	`cpe:2.3:a:oracle:spatial_studio::::::::`

解决方案

中文解决方案:

（暂无数据）

英文解决方案:

（暂无数据）