关键信息 漏洞标题: meteor https://www.meteor.com/ <=3.2.1 Inefficient Regular Expression Complexity 描述: ReDoS 漏洞存在于 ddp-server/_clientAddress 通过 x-forwarded-for 头。 漏洞详情: - 类型: 正则表达式拒绝服务 (ReDoS) - 影响组件: 中的 方法。 易受攻击代码片段: 问题正则表达式: 利用条件: 当 Meteor 服务器环境变量 设置为大于 0 的整数值时，该漏洞可被触发。 输入源与影响: 恶意客户端可以发送包含大量空白字符和非逗号字符的 HTTP 头，导致 CPU 过度消耗和 DDoS。 概念验证 (PoC): 1. 将 环境变量设置为 或更高。 2. 初始化到服务器的 DDP 连接。 3. 包含一个由大量空格字符和非逗号字符组成的 头。 4. 观察服务器进程的高 CPU 使用率和无响应。 建议修复: 使用简单分隔符和 替换基于正则表达式的分割以进行修剪。