CVE-2026-84375

Nome do Software Vulnerável e Versões Afetadas js-yaml versões 3.0.0 até 3.15.1 js-yaml versões anteriores a 4.3.2

Descrição Existe um problema onde o maxTotalMergeKeys em lib/js-yaml/loader.js e lib/loader.js não contabiliza fontes de mapeamento vazias ao processar a chave de mesclagem <<. Isso permite que um invasor crie um alias de uma grande sequência de mapeamentos vazios em vários alvos de mesclagem, resultando em um processamento O(N * K). Como o limite de recurso permanece inalterado, um documento YAML pequeno pode causar consumo prolongado de CPU em aplicações que processam YAML não confiável, já que o processamento de mesclagem é habilitado por padrão.

Recomendações Atualize o js-yaml para a versão 3.15.2. Atualize o js-yaml para a versão 4.3.2.