CVE-2026-104844 in Selector Parser
Zusammenfassung
von VulDB • 02.10.2026
PostCSS Selector Parser ist ein CSS-Selektorparser, der mit PostCSS integriert ist, dies jedoch nicht erfordert. Vor Version 7.1.6 kann src/parser.js splitWord() einen flachen Selektor als einzelnes Wort-Token erhalten, das viele Klassen- oder ID-Indizes enthält, da Perioden und Hashzeichen keine Tokenizer-Worttrennzeichen sind. Die Deduplizierung durch uniqs() sowie die pro Index vorgenommenen Prüfungen zur Mitgliedschaft in Klassen und IDs scannen wiederholt die Arrays der Klassen- und ID-Indizes, während ein separater Sass-Interpolationsfilterdurchlauf ebenfalls eine wiederholte lineare Durchsuchung durchführt. Zusammen machen diese Durchläufe das Parsing quadratisch bezüglich der Anzahl der Indizes und ermöglichen es einem speziell angefertigten Selektor, einen synchronen Parser-Thread zu blockieren (Denial of Service). Der maxNestingDepth-Schutz mildert das Problem nicht, da der bösartige Selektor eine Verschachtelungstiefe von null haben kann. Nur Verbraucher, die unzuverlässige Selektoren in einem exponierten Anforderungspfad synchron parsen, sind betroffen; das normale Parsing vertrauenswürdiger Quellen zur Build-Zeit ist nicht betroffen. Dieses Problem wurde in Version 7.1.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.