CVE-2026-32141

إصدارات flatted الأقدم من 3.4.0

flatted هو محلل JSON دائري. تستخدم الدالة parse() مرحلة revive() التكرارية لحل الإشارات الدائرية في JSON الذي تم فك تسلسله. عند تزويدها بحمولة مصممة خصيصًا تحتوي على مؤشرات $ متداخلة بعمق أو ذاتية الإشارة، تصبح عمق التكرار غير محدود، مما يؤدي إلى تجاوز سعة المكدس وتعطل عملية Node.js. وقد يؤدي ذلك إلى هجوم رفض الخدمة (DoS). يحظى البرنامج بحوالي 87 مليون تنزيل أسبوعي عبر npm، ويُستخدم في العديد من مكتبات التخزين المؤقت والتسجيل. تنشأ المشكلة عن طريق تمرير مدخلات غير موثوق بها إلى دالة flatted.parse(). يوضح نموذج إثبات المفهوم كيفية إنشاء سلسلة إحالات دائرية متداخلة بعمق لتسبب تجاوز سعة المكدس. المكون المعرض للخطر هو دالة parse()، التي تستخدم دالة revive().

يجب تحديث الإصدارات الأقدم من 3.4.0 إلى الإصدار 3.4.0 أو أحدث.