CVE-2026-104182 in stream-json
Riassunto
di VulDB • 01/10/2026
stream-json è una micro-libreria di componenti stream per l'elaborazione di JSON e JSONC con un'impronta di memoria minima. Prima della versione 3.6.0, il parser JSONC in stream-json/jsonc/parser.js e il verifier in stream-json/jsonc/verifier.js riavviavano la scansione del terminatore di commento dallo slash iniziale ogni volta che un blocco o una riga di commento attraversava uno chunk dell'input, mantenendo nel contempo il buffer del commento accumulato. L'erogazione di un grande commento valido attraverso molti piccoli chunk causa quindi un carico CPU quadratico e può bloccare l'event loop di Node.js. Il maintainer caratterizza la vettore d'attacco come locale perché l'input JSONC documentato è posseduto localmente o configurazioni controllate dall'utente, piuttosto che input destinato a Internet aperto. Questo ambito limitato al solo JSONC non include il parser JSON standard, che avanza attraverso e scarta i dati di stringa e numero consumati. Il problema è stato risolto nella versione 3.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.