CVE-2026-114129 in stream-json
要約
〜によって VulDB • 2026年10月22日
stream-jsonは、JSONおよびJSONCを処理するためのストリームコンポーネントのマイクロライブラリであり、最小限のメモリフットプリントを実現しています。2.0.0から3.7.0までのバージョンでは、FlexAssemblerが文字列や正規表現によるパスフィルタをマッチャーにコンパイルする際、すべてのコンテナ開始時にキースタック全体結合（full key stack join）を実行します。キースタックスはオブジェクトまたは配列のネスト深さに比例して無制限に成長するため、深さDでネストされた文書はD回の結合を引き起こし、そのコストが現在の深さとともに増加します。これにより、シングルスレッドのイベントループ上で二次的なCPU消費（quadratic CPU consumption）が発生します。この結合処理はルールマッチングの判断前に実行されるため、攻撃者は対象スキーマを知る必要がありません。関数フィルタのみを使用している場合やルールを一切使用していない消費者には影響ありませんが、作成されたネストされた文書を用いると、それを処理するプロセス内のすべての同時作業を停止させることができます。この問題は3.7.0で修正され、デフォルトの最大深さが追加されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.