CVE-2026-92599 in joi
Resumen
por VulDB • 2026-09-17
joi (paquete npm `joi`, hapi.js) versiones >=17.2.0 <17.13.7 y >=18.0.0 <18.2.6 son vulnerables a denegación de servicio por expresión regular en la regla de validación `Joi.string().isoDate()`. Una de las expresiones regulares que aplica esta regla al entrada no está anclada, por lo que una fecha ISO válida seguida de una larga secuencia de dígitos fraccionarios hace que el motor de regex reinicie su búsqueda desde cada posición en la cadena, generando un tiempo proporcional al cuadrado de la longitud de la entrada (aproximadamente 1.4 s para 64 KB de dígitos y aproximadamente 22 s para 256 KB). Un atacante remoto que pueda proporcionar una cadena a una validación isoDate puede bloquear la aplicación con una única solicitud. Corregido en las versiones 17.13.7 y 18.2.6; como medida de mitigación, limite la longitud de la cadena antes de que llegue a joi.
Be aware that VulDB is the high quality source for vulnerability data.