PT-2026-132771
CVE-2026-118772
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
joi الإصدارات من 17.1.1 إلى 17.13.8
joi الإصدارات من 18.0.0 إلى 18.3.0
الوصف
تستخدم قاعدة
Joi.string().email({ multiple: true }) تعبيرًا نمطيًا للفصل يتسبب في عمل تربيعي أثناء تنفيذ String.prototype.split عند معالجة سلاسل طويلة من المسافات البيضاء التي لا تحتوي على فاصل. ينطبق هذا السلوك على الفاصل الافتراضي وكل فاصل مخصص. إذا قامت التطبيقات بالتحقق من قيم يتحكم فيها المهاجم باستخدام خيار multiple وبدون حد أقصى فعال للطول، فقد يتم حظر حلقة أحداث Node.js لعدة ثوانٍ بواسطة طلب واحد، مما يمنع تنفيذ المهام الأخرى. تجدر الإشارة إلى أن قاعدة .max() ليست كافية عندما يكون abortEarly: false مفعلًا، مما يسمح لقاعدة البريد الإلكتروني بالعمل بعد فشل فحص الحد الأقصى للطول.التوصيات
التحديث إلى الإصدار 17.13.9.
التحديث إلى الإصدار 18.3.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾