Muhammadyusuf Dilmurodov

PapaParse before 5.7.1 contains an inefficient algorithmic complexity vulnerability that allows remote unauthenticated attackers to cause denial of service by submitting delimiter-free quoted CSV input to Papa.parse(). Attackers can supply a single-column quoted CSV with no delimiters, triggering repeated full-buffer indexOf scans per row that grow quadratically with input size, exhausting CPU and blocking the Node.js event loop or freezing a browser tab.

plist.js (npm package 'plist') before 5.0.1 contains an uncontrolled resource consumption vulnerability in the binary property-list parser (parseBinary) that allows unauthenticated attackers to crash a Node.js process by exploiting unmemoized recursive resolution of shared object references for arrays and dictionaries. Attackers can craft a small binary plist (under 200 bytes) containing chained self-referencing object indices to trigger exponential (2^N) resolution calls and memory growth, causing an unrecoverable out-of-memory crash and denial of service.

Existe um problema de complexidade algorítmica no processamento de links inline. Atacantes remotos podem causar exaustão de CPU ao enviar conteúdo Markdown curto contendo caracteres `[` ou `![` repetidos. Isso força as funções `getText()` e `getLink()` dentro do `LinkInlineProcessor` a realizar varreduras quadráticas, o que pode manter os processos trabalhadores ocupados por vários minutos.

Um problema de negação de serviço existe onde usuários remotos podem esgotar os recursos da CPU ao enviar Markdown contendo destinos de links inline não fechados. Ao fornecer sequências repetidas de '[a](' ou '` reanalisa o restante do documento para cada link, resultando em consumo quadrático de tempo de CPU.