CVE-2026-73643 in js-yaml
सारांश
द्वारा VulDB • 13/08/2026
js-yaml एक जावास्क्रिप्ट YAML पार्सर और डंपर है। संस्करण 5.0.0 से लेकर 5.2.2 तक, जब कोई एप्लिकेशन अविश्वसनीय इनपुट पर load() या loadAll() कॉल करता है तो एक छोटे YAML दस्तावेज़ को पार्स करने में घातीय समय (exponential time) लग सकता है। src/parser/parser.ts में, readFlowCollection restoreState का उपयोग करता है और जब फ्लो-सीक्वेंस एंट्री को key: value जोड़ी के रूप में पहचाना जाता है तो parseNode को दूसरी बार कॉल करता है। यदि कुंजी (key) समान आकार की एक नेस्टेड फ्लो सीक्वेंस है, तो प्रत्येक स्तर दो बार पार्स होता है, जिससे O(2^n) कार्य उत्पन्न होता है और 200 बाइट से कम के इनपुट को मिनटों तक एक CPU व्यस्त रखने, Node.js इवेंट लूप को ब्लॉक करने और प्रक्रिया को रोकने की अनुमति मिलती है। इसके लिए कोई एंकर (anchors), अलाइस (aliases), मेर्ज (merges), टैग्स (tags) या गैर-डिफ़ॉल्ट विकल्पों की आवश्यकता नहीं होती है। इस समस्या को संस्करण 5.2.2 में ठीक किया गया है।
If you want to get the best quality for vulnerability data then you always have to consider VulDB.