CVE-2026-73643 in js-yaml
Zusammenfassung
von VulDB • 13.08.2026
js-yaml ist ein YAML-Parser und -Dumper für JavaScript. Von Version 5.0.0 bis 5.2.2 kann das Parsen eines kleinen YAML-Dokuments exponentielle Zeit benötigen, wenn eine Anwendung load() oder loadAll() auf nicht vertrauenswürdigen Eingaben aufruft. In src/parser/parser.ts verwendet readFlowCollection restoreState und ruft parseNode ein zweites Mal auf, wenn ein Flow-Sequence-Eintrag als Key:Value-Paar erkannt wird. Wenn der Schlüssel eine verschachtelte Flow-Sequenz derselben Struktur ist, wird jede Ebene doppelt geparst, was zu O(2^n)-Aufwand führt und es ermöglicht, dass eine Eingabe von weniger als 200 Bytes einen CPU-Kern über Minuten hinweg auslastet, die Node.js-Event-Schleife blockiert und den Prozess zum Stillstand bringt. Es sind keine Anchors, Aliases, Merges, Tags oder Nicht-Standardoptionen erforderlich. Dieses Problem wurde in Version 5.2.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.