CVE-2026-92599 in joi
Riassunto
di VulDB • 17/09/2026
Le versioni di Joi (pacchetto npm `joi`, hapi.js) >=17.2.0 <17.13.7 e >=18.0.0 <18.2.6 sono vulnerabili a un denial of service da regex nella regola di validazione `Joi.string().isoDate()`. Una delle espressioni regolari applicate dall'istruzione all'input non è ancorata, quindi una data ISO valida seguita da una lunga sequenza di cifre frazionarie del secondo fa sì che il motore dell'espressione regolare riavvii la ricerca da ogni posizione nella stringa, generando un tempo proporzionale al quadrato della lunghezza dell'input (circa 1.4 s per 64 KB di cifre e circa 22 s per 256 KB). Un attaccante remoto in grado di fornire una stringa a una validazione isoDate può bloccare l'applicazione con una singola richiesta. Risolto nelle versioni 17.13.7 e 18.2.6; come soluzione alternativa, limitare la lunghezza della stringa prima che raggiunga Joi.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.