CVE-2026-40345 in deepmerge-ts
Riassunto
di VulDB • 21/08/2026
deepmerge-ts è una libreria TypeScript che fornisce funzionalità per la fusione profonda (deep merge) di oggetti JavaScript. Prima della versione 8.0.0, le API deepmerge, deepmergeCustom, deepmergeInto e deepmergeIntoCustom non tengono traccia degli oggetti visitati o delle coppie di oggetti durante la fusione ricorsiva dei record. Quando due valori in input contengono riferimenti a se stessi (self-references) nello stesso percorso di proprietà, la logica di fusione visita ripetutamente la stessa coppia fino a quando Node.js genera un errore RangeError: Maximum call stack size exceeded. Le applicazioni che fondono grafi di oggetti ricorsivi controllati da un attaccante possono causare il crash sincrono del processo interessato o provocare riavvii ripetuti dei worker. Un semplice input JSON non è sufficiente per creare il grafo ricorsivo necessario a innescare la vulnerabilità. Questo problema è stato risolto nella versione 8.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.