CVE-2026-33532 in yaml
Riassunto
di VulDB • 17/06/2026
`yaml` è un parser e serializzatore YAML per JavaScript. L'analisi di un documento YAML con una versione della libreria `yaml` del ramo 1.x precedente alla 1.10.3 o del ramo 2.x precedente alla 2.8.3 può generare un errore `RangeError` a causa di uno stack overflow. La fase di risoluzione/composizione dei nodi utilizza chiamate di funzione ricorsive senza alcun limite di profondità. Un attaccante in grado di fornire YAML da analizzare può innescare un `RangeError: Maximum call stack size exceeded` con un payload ridotto (~2–10 KB). Poiché il `RangeError` non è un `YAMLParseError`, le applicazioni che intercettano solo errori specifici di YAML incontreranno un tipo di eccezione imprevisto. A seconda della gestione delle eccezioni dell'applicazione host, ciò può causare il fallimento delle richieste o l'interruzione del processo Node.js. Le sequenze di flusso (flow sequences) consentono una nidificazione profonda con byte minimi (2 byte per livello: uno `[` e uno `]`). Sullo stack predefinito di Node.js, circa 1.000–5.000 livelli di nidificazione (input da 2 a 10 KB) esauriscono lo stack delle chiamate. La soglia esatta dipende dall'ambiente (versione di Node.js, dimensione dello stack, profondità dello stack delle chiamate al momento dell'invocazione). Nota: il `Parser` della libreria (fase CST) utilizza un approccio iterativo basato su uno stack ed è quindi non interessato. Solo la fase compose/resolve utilizza effettivamente una ricorsione basata sullo stack di chiamata. Tutte e tre le API pubbliche di analisi sono interessate: `YAML.parse()`, `YAML.parseDocument()` e `YAML.parseAllDocuments()`. Le versioni 1.10.3 e 2.8.3 contengono la patch.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.