CVE-2026-77465

Nome do Software Vulnerável e Versões Afetadas toml-node versões anteriores a 4.2.0

Description Um invasor remoto não autenticado pode causar a negação de serviço em aplicações Node.js ao fornecer um documento TOML especialmente manipulado. A função toml.parse() utiliza um parser de descida recursiva que não possui limite de profundidade ao processar arrays aninhados e tabelas inline. Um invasor pode fornecer um payload pequeno (aproximadamente 5-6 KB) contendo alguns milhares de arrays ou tabelas inline aninhados para esgotar a pilha de chamadas do Node.js. Isso resulta em um RangeError inesperado (Maximum call stack size exceeded) em vez de um SyntaxError padrão, o que pode encerrar o worker de requisição ou todo o processo. O problema reside na recursão mútua entre as funções peg$parsevalue(), peg$parsearray() e peg$parseinline table entry() dentro de lib/parser.js.

Recommendations Atualize para a versão 4.2.0. Como mitigação temporária, limite a profundidade de aninhamento de colchetes ([ e {) em entradas não confiáveis a algumas centenas de níveis antes de passar os dados para a função toml.parse().