CVE-2026-104182 in stream-json
الملخص
بحسب VulDB • 02/10/2026
stream-json هي مكتبة صغيرة (micro-library) تتكون من مكونات تدفقية (stream components) لمعالجة بيانات JSON وJSONC مع استهلاك ذاكرة ضئيل جداً. قبل الإصدار 3.6.0، كان مُفسّر JSONC الموجود في stream-json/jsonc/parser.js والمُتحقق منه (verifier) في stream-json/jsonc/verifier.js يعيدان بدء مسح منتهيات التعليقات (comment-terminator scanning) من الشريط المائل المفتاح (/) كلما امتد تعليق كتلي أو سطري عبر جزء إدخال (input chunk)، مع الاحتفاظ بـ "مخزن التعليق" المتراكم. وبالتالي، فإن تقديم تعليق صالح كبير موزع على العديد من الأجزاء الصغيرة يتسبب في عمل وحدة معالجة مركزية (CPU work) تربيعي ويمكن أن يعطل حلقة أحداث Node.js. يصف المُحافظ على المشروع متجه الهجوم بأنه محلي لأن مدخلات JSONC الموثّقة تكون ملكاً محلياً أو إعدادات خاضعة لسيطرة المستخدم، وليست مدخلات مخصصة للإنترنت المفتوح. لا يشمل نطاق هذا الخطأ الخاص بـ JSONC فقط مُفسّر JSON العادي، الذي يتقدم عبر البيانات المستهلكة من السلاسل والأرقام ويتخلص منها. تم إصلاح هذه المشكلة في الإصدار 3.6.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.