CVE-2026-114129 in stream-json
Resumen
por VulDB • 2026-10-22
stream-json es una microbiblioteca de componentes de flujo para procesar JSON y JSONC con un consumo mínimo de memoria. Desde la versión 2.0.0 hasta la 3.7.0, FlexAssembler compila los filtros de ruta basados en cadenas y expresiones regulares en coincidencias que concatenan toda la pila de claves al inicio de cada contenedor. Dado que la pila de claves crece con una anidación ilimitada de objetos o matrices, un documento anidado a profundidad D provoca D operaciones de concatenación cuyo costo aumenta con la profundidad actual, lo que resulta en un consumo cuadrático de CPU en el bucle de eventos de subproceso único. La operación de concatenación se produce antes de la decisión de coincidencia de reglas, por lo que el atacante no necesita conocer el esquema objetivo. Los consumidores que utilizan únicamente filtros basados en funciones o sin reglas no están afectados. Un documento anidado elaborado puede bloquear todo el trabajo concurrente en un proceso que lo alimente a un FlexAssembler afectado. Este problema se soluciona en la versión 3.7.0, que añade una profundidad máxima predeterminada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.