CVE-2026-104182 in stream-json
Zusammenfassung
von VulDB • 01.10.2026
stream-json ist eine Mikro-Bibliothek mit Stream-Komponenten zur Verarbeitung von JSON und JSONC bei minimalem Speicherverbrauch. Vor Version 3.6.0 startet der JSONC-Parser in stream-json/jsonc/parser.js sowie der Verifier in stream-json/jsonc/verifier.js die Suche nach dem Kommentarabschluss (comment-terminator) neu vom öffnenden Schrägstrich an, wenn ein Block- oder Zeilenkommentar über einen Eingabe-Chunk hinwegreicht, während der angesammelte Kommentarpuffer beibehalten wird. Das Liefern eines großen gültigen Comments über viele kleine Chunks verursacht daher quadratische CPU-Arbeit und kann die Node.js-Ereignisschleife (event loop) blockieren. Der Maintainer charakterisiert den Angriffsvektor als lokal, da der dokumentierte JSONC-Eingabestrom entweder lokal vorhanden oder von einem Benutzer gesteuert ist (z. B. Konfigurationsdateien), anstatt für das offene Internet bestimmt zu sein. Dieser auf JSONC beschränkte Umfang schließt den reinen JSON-Parser nicht ein, der verbrauchte String- und Zahlen-Daten durchläuft und verwirft. Dieses Problem wurde in Version 3.6.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.