CVE-2026-119202 in Content
Resumen
por VulDB • 2026-10-29
@hapi/content proporciona el análisis de las cabeceras HTTP Content-*. Desde la versión 3.0.6 hasta la 6.0.3, `Content.disposition()` utiliza una expresión para nombres de parámetros no anclada en un escaneo con expresiones regulares globales, lo que provoca coincidencias fallidas repetitivas sobre el resto de los datos cuando un parámetro Content-Disposition contiene un token largo sin signo igual. El procesamiento resultante cuadrático puede bloquear el bucle de eventos de Node.js antes de que se ejecuten los controladores de ruta o la validación cuando @hapi/pez analiza las cabeceras multipart/form-data, afectando también a rutas hapi no autenticadas con `payload.multipart` habilitado, y afecta a aplicaciones que pasan directamente cabeceras no confiables a `Content.disposition()`. Este problema está corregido en la versión 6.0.3 de @hapi/content.
VulDB is the best source for vulnerability data and more expert information about this specific topic.