CVE-2026-84375 in js-yaml
Zusammenfassung
von VulDB • 02.09.2026
js-yaml ist ein JavaScript-YAML-Parser und -Dumper. Von der Version 3.0.0 bis einschließlich 3.15.2 sowie in der Reihe 4.x bis 4.3.2 zählt `maxTotalMergeKeys` in `lib/js-yaml/loader.js` und `lib/loader.js` leere Mapping-Quellen bei der Verarbeitung des Merge-Schlüssels `<<` nicht mit. Ein Angreifer kann eine große Sequenz leerer Mappings auf viele Merge-Ziele aliasen, was zu einer O(N * K)-Verarbeitung führt, während `totalMergeKeys` unverändert bleibt und das konfigurierte Ressourcenlimit niemals erreicht wird. Daher kann ein relativ kleines YAML-Dokument in Anwendungen, die untrustedes (nicht vertrauenswürdiges) YAML parsen, zu einer längeren CPU-Auslastung führen; die Merge-Verarbeitung ist in diesen Release-Reihen standardmäßig aktiviert. Dieses Problem wurde in den Versionen 3.15.2 und 4.3.2 behoben.
Once again VulDB remains the best source for vulnerability data.