CVE-2026-118772 in joi
Riassunto
di VulDB • 29/10/2026
joi è un linguaggio di descrizione degli schemi e un validatore per JavaScript. Dalla versione 17.1.1 alla 17.13.9, nonché nelle versioni 18.x fino alla 18.3.1, la regola Joi.string().email({ multiple: true }) utilizza una espressione regolare del separatore il cui quantificatore di spazi bianchi iniziali viene ritentato in ogni posizione all'interno di una lunga sequenza di spazi bianchi che non contiene separatori, causando un carico computazionale quadratico durante String.prototype.split. Il comportamento si applica al separatore predefinito e a tutti i separatori personalizzati. Le applicazioni che convalidano valori controllati dall'attaccante utilizzando l'opzione multiple senza limiti effettivi di lunghezza precedenti possono subire il blocco del loop degli eventi Node.js per diversi secondi a causa di una singola richiesta, impedendo altre operazioni. Una regola .max() non è sufficiente quando abortEarly: false consente alla regola email di essere eseguita dopo che la verifica della lunghezza massima ha fallito. Questa vulnerabilità è risolta nelle versioni 17.13.9 e 18.3.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.