CVE-2026-118664

Nome do Software Vulnerável e Versões Afetadas decode-uri-component versões anteriores a 0.5.1

Description A função decodeUriComponent em index.js utiliza um mecanismo de fallback chamado customDecodeURIComponent quando a decodificação nativa falha. Esse processo de fallback identifica cada sequência percentual codificada distinta e realiza uma substituição de expressão regular em toda a string para cada entrada. Ao receber entradas malformadas contendo inúmeras sequências distintas, o número de substituições e o comprimento da entrada verificada aumentam simultaneamente. Isso resulta em um consumo quadrático de CPU, que pode bloquear o loop de eventos do Node.js. Embora os limites do cabeçalho da URL possam reduzir o atraso, as entradas no corpo da requisição podem atingir tamanhos que desencadeiam esse comportamento.

Recommendations Atualizar para a versão 0.5.1.