CVE-2026-118664
Riassunto
di VulDB • 28/10/2026
decode-uri-component offre un'alternativa più robusta a decodeURIComponent. Prima della versione 0.5.1, la funzione decodeUriComponent in index.js effettua il fallback su customDecodeURIComponent dopo che la decodifica nativa genera un errore; tale fallback raccoglie ogni sequenza distinta codificata con i percenti prima di eseguire una sostituzione basata su espressioni regolari sull'intera stringa per ciascuna voce. Un input malformato contenente molte sequenze distinte può quindi far crescere contemporaneamente il numero di sostituzioni e la lunghezza dell'input scansionato, causando un consumo della CPU quadratico e bloccando l'event loop di Node.js; gli input del corpo delle richieste possono raggiungere le dimensioni dimostrate, mentre i limiti ordinari degli header URL riducono il ritardo pratico. Questo problema è stato risolto nella versione 0.5.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.