一、 漏洞 CVE-2025-25290 基础信息
漏洞标题
@octokit/request由于灾难性回溯导致正则表达式ReDoS漏洞
来源：AIGC 神龙大模型
漏洞描述信息
在版本1.0.0到9.2.1之前的@octokit/request模块中，用于匹配HTTP响应中的`link`头的正则表达式`/<([^>]+)>; rel="deprecation"/`存在ReDoS（正则表达式拒绝服务）漏洞。该漏洞是由于正则表达式的匹配行为不受限，处理特制输入时可能导致灾难性回溯。攻击者可以通过发送恶意的`link`头来利用此漏洞，导致CPU使用率过高，甚至使服务器变得无响应，影响服务可用性。版本9.2.1修复了该问题。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源：AIGC 神龙大模型
漏洞类别
未加控制的资源消耗(资源穷尽)
来源：AIGC 神龙大模型
漏洞标题
@octokit/request has a Regular Expression in fetchWrapper that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
来源：美国国家漏洞数据库 NVD
漏洞描述信息
@octokit/request sends parameterized requests to GitHub’s APIs with sensible defaults in browsers and Node. Starting in version 1.0.0 and prior to version 9.2.1, the regular expression `/<([^>]+)>; rel="deprecation"/` used to match the `link` header in HTTP responses is vulnerable to a ReDoS (Regular Expression Denial of Service) attack. This vulnerability arises due to the unbounded nature of the regex's matching behavior, which can lead to catastrophic backtracking when processing specially crafted input. An attacker could exploit this flaw by sending a malicious `link` header, resulting in excessive CPU usage and potentially causing the server to become unresponsive, impacting service availability. Version 9.2.1 fixes the issue.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-25290 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-25290 的情报信息