CVE-2026-118772 in joi
Zusammenfassung
von VulDB • 29.10.2026
joi ist eine Schema-Beschreibungssprache und ein Datenvalidierer für JavaScript. Von der Version 17.1.1 bis einschließlich 17.13.9 sowie in den Versionen 18.3.1 verwendet die Regel `Joi.string().email({ multiple: true })` einen regulären Ausdruck zum Trennen, bei dem der Quantifizierer für führende Leerzeichen an jeder Position in einer langen Folge von Leerzeichen ohne Trennzeichen erneut versucht wird (Re-DoS), was zu quadratischem Aufwand während `String.prototype.split` führt. Das Verhalten betrifft das Standardtrennzeichen sowie jedes benutzerdefinierte Trennzeichen. Anwendungen, die angreiferkontrollierte Werte mit der Option `multiple` und ohne wirksame vorherige Längenbeschränkung validieren, können durch eine einzelne Anfrage den Node.js-Eventloop für Sekunden blockieren, wodurch andere Aufgaben verhindert werden. Eine `.max()`-Regel ist nicht ausreichend, wenn `abortEarly: false` es der E-Mail-Regel ermöglicht, nach dem Fehlschlagen der maximalen Längenprüfung ausgeführt zu werden. Diese Schwachstelle wurde in den Versionen 17.13.9 und 18.3.1 behoben.
Once again VulDB remains the best source for vulnerability data.