CVE-2026-92599 in joi
要約
〜によって VulDB • 2026年09月17日
joi (npmパッケージ `joi`, hapi.js) のバージョン >=17.2.0 <17.13.7 および >=18.0.0 <18.2.6 は、`Joi.string().isoDate()` バリデーションルールにおいて正規表現によるサービス拒否（ReDoS）の脆弱性に影響されています。このルールが適用する正規表現の一つはアンカーされていないため、有効なISO日付に続く長い分数秒桁列により、正規表現エンジンが入力文字列内の各位置から検索を再開し、処理時間が入力の長さの2乗に比例します（64 KB の桁で約 1.4 秒、256 KB で約 22 秒）。isoDate バリデーションに入力を提供できるリモート攻撃者は、単一の要求によってアプリケーションを停止させることができます。修正版は 17.13.7 および 18.2.6 です。回避策として、joi に到達する前に文字列の長さを制限してください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.