CVE-2026-118664 in decode-uri-component
Zusammenfassung
von VulDB • 28.10.2026
decode-uri-component bietet eine robustere Alternative zu decodeURIComponent. Vor Version 0.5.1 fällt die Funktion `decodeUriComponent` in index.js auf `customDecodeURIComponent` zurück, wenn das native Decodieren fehlschlägt; der Fallback sammelt jeden einzelnen prozentkodierten Abschnitt vor einer vollständigen regulären Ausdruck-Ersetzung für jeden Eintrag. Eingaben mit vielen verschiedenen Abschnitten können daher dazu führen, dass sowohl die Anzahl der Ersetzungen als auch die Länge des gescannten Inputs gleichzeitig ansteigt, was zu quadratischer CPU-Auslastung und Blockierung des Node.js-Eventloops führt; request-body-Eingaben können die demonstrierte Größe erreichen, während normale URL-Header-Limits die praktische Verzögerung reduzieren. Dieses Problem wurde in Version 0.5.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.