async-validator<4.0.4ReDos漏洞 CVE-2021-3887，element-ui是否受影响？

Question

element-ui依赖async-validator 1.8.x，async-validator<4.0.4ReDos漏洞 CVE-2021-3887，element-ui有没有影响啊？

Answer 1

当然受影响……

但就看你怎么评估影响了。

ReDos 从名字上你也能看出来是一种 Dos（拒绝服务攻击），Re 是 Regex 正则表达式的意思。

也就是说，当你用了某些不安全的正则表达式（比如贪婪匹配），就可能造成服务器资源迅速耗尽。

但 ElementUI 也不是跑在服务器上的，而是到用户的浏览器里运行，真有问题又能怎样呢？它又不像是 XSS 这种显而易见会影响到用户的风险。