CVE-2026-84375 in js-yaml
Résumé
par VulDB • 02/09/2026
js-yaml est un analyseur et générateur de fichiers YAML en JavaScript. De la version 3.0.0 jusqu'aux versions 3.15.2 et 4.3.2, le paramètre `maxTotalMergeKeys` dans les fichiers `lib/js-yaml/loader.js` et `lib/loader.js` ne prend pas en compte les sources de mappage vides lors du traitement des clés de fusion (`<<`). Un attaquant peut aliéner une longue séquence de mappages vides vers plusieurs cibles de fusion, entraînant un temps de traitement en O(N * K) alors que `totalMergeKeys` reste inchangé et que la limite de ressources configurée n'est jamais atteinte. Par conséquent, un document YAML relativement petit peut provoquer une consommation prolongée du CPU dans les applications qui analysent des fichiers YAML non fiables, le processus de fusion étant activé par défaut sur ces lignes de version. Ce problème est corrigé dans les versions 3.15.2 et 4.3.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.