Уязвимость CVE-2022-24999 - Документация Инкоманд

qs до 6.10.3, как это использовалось в Express до 4.17.3 и других продуктах, позволяет злоумышленникам вызывать зависание процесса Node для приложения Express, поскольку может использоваться ключ __ proto__. Во многих типичных случаях использования Express неаутентифицированный удаленный злоумышленник может поместить полезную нагрузку атаки в строку запроса URL, который используется для посещения приложения, например, a[proto]=b&a[proto]&a[length]=100000000. Исправление было перенесено в qs 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3 и 6.2.4 (и поэтому Express 4.17.3, в описании выпуска которого указано "deps: qs@6.9.7", не уязвим).

Данная уязвимость устранена в релизе Инкоманд 7.3.5.1