CVE-2026-62389

Nome do Software Vulnerável e Versões Afetadas ws versões anteriores a 8.21.1

Description Um problema de exaustão de memória existe em lib/receiver.js onde a guarda de fragmentos só é acionada quando a contagem de fragmentos atinge maxFragments. Isso permite que um invasor cause a negação de serviço através da exaustão do heap ao enviar mensagens WebSocket fragmentadas incompletas. Especificamente, um invasor pode enviar um quadro de texto com FIN=0 seguido por quadros de continuação sem completar a sequência, fazendo com que cada fragmento seja armazenado como um objeto Buffer separado com sobrecarga significativa.

Recommendations Atualize para a versão 8.21.1 ou posterior.