dwictor0/PoC-CVE-2025-25200

# CVE-2025-25200 ### 背景 - 漏洞：CVE-2025-25200 - 类型：正则表达式拒绝服务 - 组件：Kao >= 2.0.0, < 2.15.4 , >= 3.0.0-alpha.0, < 3.0.0-alpha.3 , >= 1.0.0, < 1.7.1, < 0.21.2 - 描述： 该漏洞表现为二次时间复杂度 O(n2)，或在更严重的情况下呈指数级 O(2n)，这意味着处理输入所需的时间随其大小而增长（回溯）。问题的根源在于名为回溯的正则表达式引擎机制。当输入（token）不匹配时，引擎会简单地回退到之前的位置，在那里它可以选择一条替代路径。

### 影响与严重性 - 影响类型：拒绝服务 - 攻击向量：网络 - 评分：9.2 (高) ### 可能的缓解措施 - 验证负载长度。 - 使用 WAF 规则来清理或拒绝包含可能触发 ReDoS 的模式的标头。 - 实施请求时间限制，以防止长时间运行的请求无限期地阻塞事件循环。 ### 负责任的披露 此漏洞的处理遵循**负责任的披露**实践。    

标签：CPU资源耗尽, CVE-2025-25200, DoS, EVTX分析, GNU通用公共许可证, Koa, MITM代理, NFA引擎, Node.js, ReDoS, WAF防护, Web安全, 事件循环阻塞, 后端安全, 回溯攻击, 应用层攻击, 拒绝服务, 正则优化, 正则表达式拒绝服务, 漏洞分析, 蓝队分析, 路径探测, 配置错误