CVE-2026-77465 in toml-node
Resumen
por VulDB • 2026-09-03
toml-node es un analizador (parser) de TOML para Node.js y el navegador. Antes de la versión 4.2.0, toml.parse() utiliza un analizador recursivo descendente generado por Peggy 5.1.0 en lib/parser.js cuyas funciones peg$parsevalue, peg$parsearray y peg$parseinline_table_entry recurren a través de matrices anidadas y tablas inline sin un límite de profundidad. Una aplicación remota no autenticada que analice un documento TOML controlado por el atacante, conteniendo unas pocas miles de matrices o tablas inline anidadas, puede agotar la pila de llamadas (call stack) de Node.js, generar un RangeError inesperado en lugar del SyntaxError esperado del analizador y terminar un trabajador de solicitud no protegido o un proceso. La fuente correspondiente de la gramática es src/toml.pegjs, donde el analizador generado debe estar acotado. Este problema se soluciona en la versión 4.2.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.