CVE-2026-104182 in stream-json
요약
\~에 의해 VulDB • 2026. 10. 02.
stream-json은 최소한의 메모리 사용량으로 JSON 및 JSONC를 처리하기 위한 스트림 컴포넌트들의 마이크로 라이브러리입니다. 버전 3.6.0 이전에는 stream-json/jsonc/parser.js의 JSONC 파서와 stream-json/jsonc/verifier.js의 검증기가 블록 주석이나 줄 주석이 입력 청크(chunks)에 걸쳐 있을 때, 축적된 주석 버퍼를 유지한 채로 주석 종료 문자열 스캐닝을 시작 슬래시(/)부터 다시 수행하는 문제가 있었습니다. 따라서 여러 작은 청크에 걸쳐 큰 유효한 주석을 제공하면 이차적인 CPU 작업이 발생하여 Node.js 이벤트 루프가 중단될 수 있습니다. 유지 관리자는 공격 벡터를 로컬로 분류합니다. 이는 문서화된 JSONC 입력이 공개된 인터넷을 위한 것이 아니라 로컬에서 소유되거나 사용자 제어 구성 파일이기 때문입니다. 이러한 JSONC 전용 범위는 평문 JSON 파서는 포함하지 않습니다. 평문 JSON 파서는 소비된 문자열 및 숫자 데이터를 진행하며 버립니다. 이 문제는 버전 3.6.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.