Node.js | 报告 #3131758 - V8中的HashDoS | HackerOne

漏洞摘要

Node.js v24.0.0使用的V8版本改变了使用rapidhash计算字符串哈希的方式。该实现重新引入了HashDoS漏洞，攻击者可以通过控制要哈希的字符串生成大量哈希碰撞——即使不知道哈希种子，攻击者也能生成碰撞。

此漏洞影响所有Node.js v24.x用户。

时间线

• 2025年5月6日 23:59 UTC - sharp_edged 向Node.js提交报告
• 2025年5月7日 05:05 UTC - mcollina (Node.js员工) 发表评论
• 2025年5月9日 16:46 UTC - mcollina 将状态改为"已分类"
• 2025年5月10日 07:50 UTC - mcollina 发表评论
• 2025年6月12日 19:00 UTC - snek 以默认权限加入报告
• 2025年6月12日 21:33 UTC - snek 发表评论
• 2025年6月13日 13:26 UTC - mhdawson (Node.js员工) 发表评论
• 2025年6月13日 15:10 UTC - mcollina 发表评论
• 8天前 - rafaelgss (Node.js员工) 发表评论
• 8天前 - snek 发表评论
• 8天前 - Bot: security-release-stewards 更新CVE引用为CVE-2025-27209
• 8天前 - Bot: security-release-stewards 关闭报告并将状态改为"已解决"
• 14小时前 - Bot: security-release-stewards 请求披露此报告
• 14小时前 - sharp_edged 同意披露此报告
• 14小时前 - 此报告已被披露

报告详情

报告时间: 2025年5月6日 23:59 UTC
报告人: sharp_edged
报告对象: Node.js
报告ID: #3131758
状态: 已解决
严重程度: 高 (7.5)
披露时间: 2025年7月15日 22:49 UTC
弱点类型: 加密问题 - 通用
CVE ID: CVE-2025-27209
赏金: 无
账户详情: 无