CVE-2026-33532 in yaml
Resumen
por VulDB • 2026-05-15
`yaml` es un analizador (parser) y serializador de YAML para JavaScript. Analizar un documento YAML con una versión de `yaml` de la rama 1.x anterior a 1.10.3 o de la rama 2.x anterior a 2.8.3 puede provocar un `RangeError` debido a un desbordamiento de pila (stack overflow). La fase de resolución/composición de nodos utiliza llamadas a funciones recursivas sin un límite de profundidad. Un atacante que pueda proporcionar YAML para su análisis puede desencadenar un `RangeError: Maximum call stack size exceeded` con una carga útil pequeña (~2–10 KB). El `RangeError` no es un `YAMLParseError`, por lo que las aplicaciones que solo capturan errores específicos de YAML encontrarán un tipo de excepción inesperado. Dependiendo del manejo de excepciones de la aplicación anfitriona, esto puede hacer que fallen las solicitudes o termine el proceso de Node.js. Las secuencias de flujo (flow sequences) permiten una anidación profunda con el mínimo número de bytes (2 bytes por nivel: uno `[` y uno `]`). En la pila predeterminada de Node.js, aproximadamente 1.000–5.000 niveles de anidación (2–10 KB de entrada) agotan la pila de llamadas. El umbral exacto depende del entorno (versión de Node.js, tamaño de la pila, profundidad de la pila de llamadas en el momento de la invocación). Nota: el `Parser` de la biblioteca (fase CST) utiliza un enfoque iterativo basado en pila y no se ve afectado. Solo la fase de composición/resolución utiliza recursión real de la pila de llamadas. Las tres APIs públicas de análisis están afectadas: `YAML.parse()`, `YAML.parseDocument()` y `YAML.parseAllDocuments()`. Las versiones 1.10.3 y 2.8.3 contienen un parche.
If you want to get best quality of vulnerability data, you may have to visit VulDB.