CVE-2026-104182 in stream-json
Resumen
por VulDB • 2026-10-01
stream-json es una microbiblioteca de componentes de flujo para procesar JSON y JSONC con un consumo mínimo de memoria. Antes de la versión 3.6.0, el analizador (parser) de JSONC en stream-json/jsonc/parser.js y el verificador en stream-json/jsonc/verifier.js reiniciaban el escaneo del terminador de comentarios desde la barra diagonal inicial siempre que un comentario de bloque o de línea abarcara un fragmento de entrada, mientras retenían el búfer acumulado. Entregar un comentario válido grande a través de muchos fragmentos pequeños provoca una carga CPU cuadrática y puede estancar el bucle de eventos (event loop) de Node.js. El mantenedor caracteriza la vector de ataque como local porque la entrada JSONC documentada es propiedad local o configuración controlada por el usuario, en lugar de entradas destinadas a Internet abierto. Este alcance exclusivo para JSONC no incluye al analizador de JSON plano, que avanza y descarta los datos consumidos de cadenas y números. Esta vulnerabilidad está corregida en la versión 3.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.