PT-2026-71720
CVE-2026-73643
·
تاريخ النشر
2026-07-24
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات js-yaml من 5.0.0 إلى 5.2.1
الوصف
قد يؤدي تحليل مستند YAML صغير إلى استهلاك وقت متزايد أسيًّا عندما يستدعي التطبيق الدالتين
load() أو loadAll() على مدخلات غير موثوق بها. في الملف src/parser/parser.ts، تستخدم الدالة readFlowCollection() الدالة restoreState() وتستدعي الدالة parseNode() للمرة الثانية عندما يتم تحديد إدخال تسلسل التدفق على أنه زوج مفتاح: قيمة. إذا كان المفتاح عبارة عن تسلسل تدفق متداخل من نفس الشكل، يتم تحليل كل مستوى مرتين، مما يؤدي إلى تعقيد O(2^n). وهذا يسمح لمدخلات أصغر من 200 بايت بإشغال وحدة المعالجة المركزية (CPU) لعدة دقائق، مما يؤدي إلى حجب حلقة أحداث Node.js وتعطيل العملية. يحدث هذا السلوك دون الحاجة إلى نقاط ربط أو أسماء مستعارة أو عمليات دمج أو علامات أو خيارات غير افتراضية.التوصيات
تحديث js-yaml إلى الإصدار 5.2.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾