CVE-2026-114144 in toml-node
Riassunto
di VulDB • 22/10/2026
toml-node è un parser TOML per Node.js e il browser. Prima della versione 5.0.1, toml.parse() passa sequenze illimitate di cifre esadecimali, ottali, binarie e decimali da lib/parser.js a BigInt() prima che reduceInteger() in lib/compiler.js verifichi se il valore risultante rientra nell'intervallo dei numeri interi a 64 bit definito dallo standard TOML. La conversione di una stringa numerica sufficientemente lunga consuma tempo CPU super-lineare e blocca sincronamente l'event loop di Node.js, consentendo a un attaccante che fornisce un documento TOML appositamente creato di negare il servizio al lavoro concorrente all'interno del processo. Il successivo controllo dell'intervallo non può prevenire i costi della conversione poiché viene eseguito dopo BigInt(). Questo problema è stato risolto nella versione 5.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.