CVE-2026-92599 in joi
الملخص
بحسب VulDB • 17/09/2026
تُعد الإصدارات >=17.2.0 <17.13.7 و>=18.0.0 <18.2.6 من حزمة npm `joi` (hapi.js) عرضة لهجوم حرمان الخدمة عبر التعبير النمطي (ReDoS) في قاعدة التحقق `Joi.string().isoDate()`. أحد التعبيرات النمطية التي تطبقها القاعدة على المدخلات غير مثبتة المرسى (unanchored)، مما يؤدي إلى قيام محرك التعبير النمطي بإعادة البحث من كل موضع في السلسلة عند وجود تاريخ ISO صالح متبوعاً بسلسلة طويلة من أرقام الكسور، وهو ما ينتج وقت معالجة يتناسب مع مربع طول الإدخال (حوالي 1.4 ثانية لـ 64 كيلوبايت من الأرقام وحوالي 22 ثانية لـ 256 كيلوبايت). يمكن لمهاجم عن بعد قادر على تزويد قاعدة التحقق isoDate بسلسلة أن يعطل التطبيق بطلب واحد. تم الإصلاح في الإصدارين 17.13.7 و18.2.6؛ كحل مؤقت، يُنصح بتحديد طول السلسلة قبل وصولها إلى joi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.