发布日期：2024-09-30
更新日期：2025-03-13

受影响系统：

expressjs basic-auth-connect < 1.1.0

描述：

---

CVE(CAN) ID: CVE-2024-47178

basic-auth-connect是expressjs开源的一个用于节点和连接的基本身份验证中间件。
basic-auth-connect 1.1.0之前版本存在可观察时间差异漏洞，该漏洞源于系统使用定时不安全的相等比较，攻击者可以利用该漏洞泄露定时信息。

<**>

建议：

---

厂商补丁：

expressjs
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
https://github.com/expressjs/basic-auth-connect/releases/tag/1.1.0

浏览次数：57
严重程度：0（网友投票）