CVE-2026-92599 in joi
Zusammenfassung
von VulDB • 17.09.2026
joi (npm-Paket `joi`, hapi.js) in den Versionen >=17.2.0 <17.13.7 und >=18.0.0 <18.2.6 ist anfällig für Regular Expression Denial of Service (ReDoS) in der Validierungsregel `Joi.string().isoDate()`. Eine der regulären Ausdrücke, die auf den Eingabewert angewendet werden, ist nicht verankert („unanchored“), sodass ein gültiges ISO-Datum gefolgt von einer langen Folge von Ziffern für Sekundenbruchteile dazu führt, dass die Regex-Engine ihre Suche an jeder Position im String neu startet. Dies erzeugt eine Laufzeit proportional zum Quadrat der Eingabelänge (ca. 1,4 s bei 64 KB an Ziffern und ca. 22 s bei 256 KB). Ein entfernter Angreifer, dem es möglich ist, einen String zur isoDate-Validierung bereitzustellen, kann die Anwendung mit einer einzigen Anfrage zum Stillstand bringen. Behoben in den Versionen 17.13.7 und 18.2.6; als Workaround sollte die Länge des Strings begrenzt werden, bevor sie joi erreicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.