CVE-2026-104182

Nome do Software Vulnerável e Versões Afetadas stream-json versões anteriores a 3.6.0

Description O parser JSONC em stream-json/jsonc/parser.js e o verifier em stream-json/jsonc/verifier.js reiniciam a varredura do terminador de comentário a partir da barra de abertura sempre que um comentário de bloco ou de linha abrange um chunk de entrada, mantendo o buffer de comentário acumulado. Esse comportamento pode causar um trabalho de CPU quadrático e travar o event loop do Node.js se um comentário válido e grande for entregue em muitos chunks pequenos. Este problema afeta especificamente o parser JSONC e não impacta o parser JSON simples. O vetor de ataque é considerado local, pois a entrada JSONC geralmente consiste em configurações de propriedade local ou controladas pelo usuário.

Recommendations Atualizar para a versão 3.6.0.