CVE-2026-118772

Nome do Software Vulnerável e Versões Afetadas joi versões 17.1.1 até 17.13.8 joi versões 18.0.0 até 18.3.0

Descrição A regra Joi.string().email({ multiple: true }) utiliza uma expressão regular de separador que causa trabalho quadrático durante o String.prototype.split ao processar sequências longas de espaços em branco sem um separador. Isso ocorre tanto com o separador padrão quanto com separadores personalizados. Se uma aplicação validar valores controlados por um invasor usando a opção multiple sem um limite de comprimento eficaz, uma única requisição pode bloquear o event loop do Node.js por vários segundos. Observe que uma regra .max() não é eficaz se abortEarly: false estiver configurado, pois a regra de e-mail pode ser executada após a falha na verificação de comprimento máximo.

Recomendações Atualize para a versão 17.13.9. Atualize para a versão 18.3.1.