CVE-2025-66020 Valibot EMOJI_REGEX正则表达式拒绝服务漏洞

漏洞信息

漏洞编号

CVE-2025-66020

漏洞类型

正则表达式拒绝服务(ReDoS)

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Valibot

漏洞概述

Valibot是一个用于通过schema验证数据的JavaScript/TypeScript库。CVE-2025-66020漏洞影响了Valibot从0.31.0到1.1.0的所有版本。该漏洞位于emoji验证功能的EMOJI_REGEX正则表达式中，存在严重的正则表达式拒绝服务(ReDoS)问题。攻击者可以通过构造短小精悍的恶意字符串（通常少于100个字符），触发该正则表达式的灾难性回溯(Catastrophic Backtracking)，导致正则表达式引擎消耗大量CPU资源，执行时间可达数分钟。这种资源消耗会严重影响应用程序的性能，造成拒绝服务(DoS)条件，使合法用户无法访问服务。该漏洞已被官方在1.2.0版本中修复，强烈建议所有用户立即升级到最新版本。

技术细节

Valibot库中的emoji验证功能使用了存在缺陷的EMOJI_REGEX正则表达式。该正则表达式在设计时未能正确处理某些特殊的Unicode字符组合，导致正则引擎在匹配过程中产生灾难性回溯。当攻击者输入特定的恶意字符串时，正则表达式引擎会尝试大量可能的匹配路径，每个失败的分支都会触发更多的递归调用，最终导致指数级的时间复杂度增长。具体来说，攻击者可以利用正则表达式中的重复分组和可选量词的组合，使得引擎在处理短字符串时产生大量的回溯操作。例如，某些看似正常的emoji字符串模式可能会触发数百万次的内部状态检查，CPU占用率会急剧上升并持续较长时间。这种攻击不需要任何特殊权限，只需要能够向使用Valibot的服务提交用户输入即可实施。攻击的隐蔽性较强，因为字符串长度很短，可能不会触发常规的长度检查或WAF规则。

攻击链分析

STEP 1

步骤1

攻击者识别使用Valibot库进行emoji验证的目标应用程序

STEP 2

步骤2

攻击者构造包含特殊Unicode字符组合的恶意emoji字符串，该字符串触发EMOJI_REGEX的灾难性回溯

STEP 3

步骤3

攻击者通过API、表单输入或其他用户可控的输入渠道提交恶意字符串

STEP 4

步骤4

Valibot的emoji()验证函数执行正则表达式匹配，触发ReDoS条件

STEP 5

步骤5

正则表达式引擎进入无限循环或极长执行时间，CPU占用率急剧上升

STEP 6

步骤6

应用程序响应时间剧增或完全无响应，导致拒绝服务，合法用户无法访问

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// CVE-2025-66020 PoC - ReDoS in Valibot EMOJI_REGEX
import { emoji } from 'valibot';

// Malicious emoji string that triggers catastrophic backtracking
// This short string (<100 chars) can cause regex engine to hang
const maliciousString = '👨‍👩‍👦👨‍👩‍👧👨‍👩‍👧‍👦👨‍👩‍👦‍👦👨‍👩‍👧‍👧👨‍👩‍👦👨‍👩‍👧👨‍👩‍👧‍👦👨‍👩‍👦‍👦👨‍👩‍👧‍👧';

console.log('Testing ReDoS vulnerability...');
console.time('emoji_validation');

try {
  // This will hang or take minutes to complete
  const result = emoji().parse(maliciousString);
  console.log('Validation passed:', result);
} catch (e) {
  console.log('Validation failed:', e.message);
}

console.timeEnd('emoji_validation');

// Alternative PoC using validator function
import { isEmail } from 'valibot';
// Note: For emoji validation, use the emoji schema or emoji() function

影响范围

Valibot >= 0.31.0, < 1.2.0

防御指南

临时缓解措施

如果无法立即升级，可采取以下临时措施：1) 在业务逻辑层对所有emoji相关输入实施严格的长度限制（如不超过20个字符）；2) 为正则表达式验证添加超时机制，超过设定时间强制终止；3) 暂时禁用emoji验证功能或使用白名单机制限制允许的emoji范围；4) 在API网关层面实施请求速率限制和异常检测；5) 监控CPU和内存使用情况，及时发现异常。