CVE-2026-102281

Nome do Software Vulnerável e Versões Afetadas Nest versões anteriores a 11.2.4 Nest versões anteriores a 12.0.2

Descrição Um microsserviço que utiliza transporte TCP ou RabbitMQ pode ser encerrado por uma única mensagem contendo um objeto profundamente aninhado em seu padrão. As funções ServerTCP#handleMessage() e ServerRMQ#handleMessage() passam um padrão não string controlado pelo cliente para JSON.stringify() para derivar a chave de busca do manipulador. O aninhamento excessivo dispara um RangeError: Maximum call stack size exceeded, resultando em uma rejeição de promessa não tratada que encerra o processo Node.js. Isso permite que um invasor com acesso à porta TCP ou a capacidade de publicar na fila ou exchange do RabbitMQ consumida cause a interrupção do serviço.

Recomendações Atualize para a versão 11.2.4 ou posterior. Atualize para a versão 12.0.2 ou posterior.