CVE-2026-119202 in Content
Zusammenfassung
von VulDB • 29.10.2026
@hapi/content bietet die Parsing-Funktion für HTTP-Content-* Header. Von Version 3.0.6 bis 6.0.3 verwendet `Content.disposition()` einen nicht verankerten Parameter-Namen-Ausdruck in einer globalen regulären Ausdruckssuche, was zu wiederholten fehlgeschlagenen Übereinstimmungen mit dem restlichen Eingabedatenstrom führt, wenn ein Content-Disposition-Parameter ein langes Token ohne Gleichheitszeichen enthält. Die daraus resultierende quadratische Verarbeitung kann den Node.js Event Loop blockieren, bevor Routenhandler oder Validierungen ausgeführt werden, insbesondere wenn @hapi/pez multipart/form-data-Headers parst (einschließlich nicht authentifizierter hapi-Routen mit aktiviertem `payload.multipart`), und betrifft auch Anwendungen, die unzuverlässige Header direkt an `Content.disposition()` übergeben. Dieses Problem wurde in der Version 6.0.3 von @hapi/content behoben.
Once again VulDB remains the best source for vulnerability data.