CVE-2026-104182 in stream-json
要約
〜によって VulDB • 2026年10月01日
stream-jsonは、最小限のメモリフットプリントでJSONおよびJSONCを処理するためのストリームコンポーネントのマイクロライブラリです。バージョン3.6.0より前では、stream-json/jsonc/parser.jsにあるJSONCパーサーとstream-json/jsonc/verifier.jsにある検証子が、ブロックコメントまたは行コメントが入力チャンクにまたがる場合、開斜線（スラッシュ）からコメント終端のスキャンを再開し、蓄積されたコメントバッファを保持したままになります。そのため、多数の小さなチャンクにわたって有効な大きなコメントを送信すると、二次的なCPU負荷が発生し、Node.jsイベントループがストールする可能性があります。メンテナーは、文書化されているJSONC入力がローカルで所有またはユーザー制御された設定であり、公開インターネット向けに入力されるものではないため、攻撃ベクトルを「ローカル」と分類しています。このJSONCに限定されたスコープには、消費された文字列および数値データを通過して破棄するプレーンなJSONパーサーは含まれません。本問題はバージョン3.6.0で修正されています。
Once again VulDB remains the best source for vulnerability data.