CVE-2026-114129 in stream-json
Zusammenfassung
von VulDB • 22.10.2026
stream-json ist eine Mikro-Bibliothek mit Stream-Komponenten zur Verarbeitung von JSON und JSONC bei minimalem Speicherverbrauch. Von der Version 2.0.0 bis 3.7.0 kompiliert FlexAssembler String- und reguläre Ausdrücke-basierte Pfadfilter in Matcher, die den gesamten Schlüsselstapel (key stack) bei jedem Containerstart verknüpfen. Da sich der Schlüsselstapel durch unbeschränkte Verschachtelung von Objekten oder Arrays erweitert, führt ein Dokument mit einer Tiefe D zu D Verknüpfungen, deren Aufwand mit der aktuellen Tiefe zunimmt, was auf dem single-threaded Event Loop zu quadratischer CPU-Auslastung führt. Die Verknüpfung erfolgt vor der Entscheidung über das Regel-Matching, sodass Angreifer das Zielschema nicht kennen müssen. Verbraucher, die nur Funktionsfilter oder keine Regeln verwenden, sind nicht betroffen. Ein speziell konstruiertes verschachteltes Dokument kann alle gleichzeitigen Arbeiten in einem Prozess blockieren, der es an einen betroffenen FlexAssembler übergibt. Dieses Problem wurde in Version 3.7.0 behoben, die eine standardmäßige maximale Tiefe hinzufügt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.