PT-2026-49573
CVE-2026-53550
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات js-yaml الأقدم من 4.2.0
الوصف
يمكن لمستند YAML مُصمم خصيصًا أن يتسبب في استنفاد موارد وحدة المعالجة المركزية (CPU) بشكل خوارزمي أثناء معالجة مفتاح الدمج (
<<) من خلال تكرار نفس الاسم المستعار عدة مرات في تسلسل الدمج. ينتج عن ذلك سلوك زمني للتحليل يتناسب تربيعيًا مع حجم المدخلات، مما قد يؤدي إلى تعطيل عامل Node.js أو حلقة الأحداث لعدة ثوانٍ حتى مع وجود حمولة صغيرة (عشرات الكيلوبايت)، مما يؤدي إلى رفض الخدمة. تكمن المشكلة في معالجة الدمج داخل lib/loader.js، وتحديدًا داخل الدالة storeMappingPair() والدالة mergeMappings(). عندما تكون قيمة الدمج عبارة عن تسلسل، يقوم المحلل بمعالجة كل عنصر دون إزالة التكرارات؛ وإذا كانت هناك إدخالات متعددة تشير إلى نفس الكائن المثبت، فإن المحلل يعيد معالجة جميع المفاتيح بشكل زائد عن الحاجة لكل مرجع.التوصيات
قم بالتحديث إلى الإصدار 4.2.0.
كحل مؤقت، قم بتقييد معالجة مستندات YAML غير الموثوق بها التي تستخدم تسلسلات مفاتيح الدمج حتى يتم تطبيق التحديث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾