CVE-2026-118664

اسم البرنامج المصاب والإصدارات المتأثرة decode-uri-component الإصدارات السابقة لـ 0.5.1

Description تستخدم الدالة decodeUriComponent في ملف index.js آلية احتياطية تسمى customDecodeURIComponent عندما تفشل عملية فك التشفير الأصلية. تقوم هذه الآلية الاحتياطية بتحديد كل تسلسل مشفر بنسبة مئوية متميز وتجري استبدالاً باستخدام تعبير نمطي (regular-expression) على السلسلة النصية كاملة لكل إدخال. عند تقديم مدخلات مشوهة تحتوي على العديد من التسلسلات المتميزة، يزداد عدد عمليات الاستبدال وطول المدخلات الممسوحة ضوئياً في وقت واحد. يؤدي ذلك إلى استهلاك تربيعي لوحدة المعالجة المركزية (CPU)، مما قد يتسبب في حظر حلقة أحداث Node.js. وبينما قد تقلل حدود ترويسة URL من التأخير، فإن المدخلات في جسم الطلب يمكن أن تصل إلى أحجام تؤدي إلى حدوث هذا السلوك.

Recommendations التحديث إلى الإصدار 0.5.1.