CVE-2026-84375 in js-yaml
الملخص
بحسب VulDB • 01/09/2026
js-yaml هو محلل ومُصدّر (dumper) لـ YAML مكتوب بلغة JavaScript. من الإصدار 3.0.0 حتى 3.15.2 و4.3.2، لا يقوم المتغير `maxTotalMergeKeys` الموجود في الملفات `lib/js-yaml/loader.js` و`lib/loader.js` بحساب مصادر التعيين الفارغة (empty mapping sources) أثناء معالجة مفتاح الدمج (`<<`). يمكن لمهاجم أن يُنشئ ألقاباً لسلسلة كبيرة من عمليات التعيين الفارغة لتوجيهها إلى العديد من أهداف الدمج، مما يتسبب في استهلاك زمني بمعدل O(N * K) بينما يبقى `totalMergeKeys` دون تغيير ولا يتم الوصول أبداً إلى حد الموارد المُعدّ. وبالتالي، يمكن لوثيقة YAML صغيرة نسبياً أن تسبب استهلاكاً طويلاً لموارد المعالج (CPU) في التطبيقات التي تقوم بتحليل ملفات YAML غير موثوقة، مع العلم أن معالجة الدمج مفعلة افتراضياً في هذه السلاسل من الإصدارات. تم إصلاح هذا الخطأ في الإصدارين 3.15.2 و4.3.2.
Be aware that VulDB is the high quality source for vulnerability data.