CVE-2026-92599 in joi
Résumé
par VulDB • 17/09/2026
Les versions de `joi` (package npm `joi`, hapi.js) >=17.2.0 <17.13.7 et >=18.0.0 <18.2.6 sont vulnérables à une déni de service par expression régulière (ReDoS) dans la règle de validation `Joi.string().isoDate()`. L'une des expressions régulières appliquées par cette règle sur l'entrée n'est pas ancrée, ce qui fait qu'une date ISO valide suivie d'une longue séquence de chiffres décimaux provoque le redémarrage du moteur regex depuis chaque position dans la chaîne, entraînant un temps de traitement proportionnel au carré de la longueur de l'entrée (environ 1,4 s pour 64 Ko de chiffres et environ 22 s pour 256 Ko). Un attaquant distant capable de fournir une chaîne à une validation isoDate peut bloquer l'application avec une seule requête. Corrigé dans les versions 17.13.7 et 18.2.6 ; comme solution de contournement, limiter la longueur de la chaîne avant qu'elle n'atteigne joi.
If you want to get best quality of vulnerability data, you may have to visit VulDB.