Muhammadyusuf Dilmurodov

PapaParse before 5.7.1 contains an inefficient algorithmic complexity vulnerability that allows remote unauthenticated attackers to cause denial of service by submitting delimiter-free quoted CSV input to Papa.parse(). Attackers can supply a single-column quoted CSV with no delimiters, triggering repeated full-buffer indexOf scans per row that grow quadratically with input size, exhausting CPU and blocking the Node.js event loop or freezing a browser tab.

plist.js (npm package 'plist') before 5.0.1 contains an uncontrolled resource consumption vulnerability in the binary property-list parser (parseBinary) that allows unauthenticated attackers to crash a Node.js process by exploiting unmemoized recursive resolution of shared object references for arrays and dictionaries. Attackers can craft a small binary plist (under 200 bytes) containing chained self-referencing object indices to trigger exponential (2^N) resolution calls and memory growth, causing an unrecoverable out-of-memory crash and denial of service.

توجد مشكلة في التعقيد الخوارزمي في تحليل الروابط المضمنة. يمكن للمهاجمين عن بُعد استنفاد وحدة المعالجة المركزية (CPU) من خلال إرسال محتوى Markdown قصير يحتوي على أحرف `[` أو `![` مكررة. يؤدي ذلك إلى إجبار الدالتين `getText()` و `getLink()` داخل `LinkInlineProcessor` على إجراء عمليات مسح تربيعية، مما يبقي العاملين مشغولين لعدة دقائق.

توجد مشكلة في حجب الخدمة حيث يمكن للمستخدمين عن بُعد استنفاد موارد وحدة المعالجة المركزية عن طريق إرسال Markdown يحتوي على وجهات روابط سطرية غير مغلقة. من خلال تقديم تسلسلات متكررة من '[a](' أو '` بإعادة فحص المستند المتبقي لكل رابط، مما يؤدي إلى استهلاك وقت وحدة المعالجة المركزية بشكل تربيعي.