CVE-2026-33320

إصدارات Dasel من 3.0.0 إلى 3.3.1

يكون قارئ YAML في Dasel عرضة لاستهلاك مفرط لوحدة المعالجة المركزية (CPU) والذاكرة عند معالجة بيانات YAML مقدمة من مهاجم. ويحدث ذلك لأن تنفيذ UnmarshalYAML في المكتبة يحل عقد YAML المستعارة بشكل متكرر دون أي حد للتوسيع، متجاوزًا حد توسيع الأسماء المستعارة المدمج الموجود في go-yaml v4. يمكن لحمولة صغيرة نسبيًا تبلغ 342 بايت أن تؤدي إلى حدوث هذه المشكلة، مما يؤدي إلى رفض الخدمة. تكمن المشكلة في دالة UnmarshalYAML، التي تتعامل مع العقد ذات الأسماء المستعارة عن طريق المتابعة التكرارية لمؤشرات yaml.Node.Alias دون حد محدد للتوسيع. وهذا يسمح للمهاجم بإنشاء مستند YAML يحتوي على أسماء مستعارة متداخلة بعمق، مما يتسبب في نمو غير محدود للموارد أثناء التحليل. السبب الجذري هو أن Dasel يتلقى شجرة Node مضغوطة ثم يعيد توسيع الأسماء المستعارة دون حدود، على عكس دالة Unmarshal في go-yaml v4 التي تتعقب عدد مرات توسيع الأسماء المستعارة.

الإصدارات السابقة لـ 3.3.2 متأثرة بهذه المشكلة.

قم بالتحديث إلى الإصدار 3.3.2 أو أحدث لحل المشكلة.