Sichern Sie EOL-Versionen von Express.js in Node.js-Produktionsanwendungen

Nur in geringem Umfang. Express 3 wird schon seit Jahren nicht mehr unterstützt, und 4.x wurde in den Wartungsmodus überführt, sobald Express 5 zur aktuellen Version wurde. Angesichts des nach wie vor hohen Produktionsaufkommens von Node.js-Traffic, das über Express 4 läuft, bleibt eine sehr große installierte Basis auf einer Version zurück, deren Support-Verpflichtung immer weiter zurückgeht. ELS für Express bietet fortlaufende CVE-Korrekturen für Express-Versionen, deren Support ausläuft.

Express 3.4.8, 3.21.2, 4.17.1, 4.18.1, 4.18.2, 4.18.3 und 4.19.2. Weitere Versionen sind auf Anfrage erhältlich.

Ja. Express 5 ersetzt fünf Funktionen durch einen neuen „Path-to-Regexp“-Ansatz, der die Routenabgleichung verändert, die Fehlerbehandlung für abgelehnte Promises anpasst und seit langem veraltete Methoden entfernt – was in großen Anwendungen unbemerkt zu Fehlern bei Middleware und Routenmustern führt. ELS patcht stattdessen Ihre aktuelle Version.

Ja, ohne zusätzliche Kosten für transitive Abhängigkeiten. Genau hier liegt der entscheidende Punkt: Die meisten CVEs in Express betreffen nicht Express selbst, sondern die umgebenden Pakete – body-parser, path-to-regexp, send, cookie, qs. TuxCare patcht das anfällige Paket und erstellt alle nachgelagerten Komponenten neu.

Das sollte man sich einmal ansehen. Eine EOL-Express-Version basiert in der Regel auf einer EOL-Version von Node.js, und Node.js 20 hat im April 2026 das Ende der Lebensdauer erreicht. Das ELS von TuxCare für Node.js deckt die Versionen 12, 14, 16, 18 und 20 ab, sodass beide Ebenen gemeinsam gepatcht werden können.

Fügen Sie die TuxCare-Registrierung zur Datei .npmrc hinzu und legen Sie für „Express“ einen Alias zu @els-js/express fest – entweder manuell oder mithilfe des TuxCare Patcher. Die Reihenfolge der Routen und der Middleware bleibt unverändert. Die Pakete tragen das Suffix „-tuxcare.N“ und werden mit SBOM- und VEX-Daten ausgeliefert, sodass Scanner einen gepatchten Build von der anfälligen Upstream-Version unterscheiden können.