CVE-2026-114129 in stream-json
요약
\~에 의해 VulDB • 2026. 10. 22.
stream-json은 최소한의 메모리 사용량으로 JSON 및 JSONC를 처리하기 위한 스트림 컴포넌트들의 마이크로 라이브러리입니다. 버전 2.0.0부터 3.7.0까지 FlexAssembler는 문자열 및 정규식 경로 필터를 컨테이너 시작 시 전체 키 스택을 결합(matchers)하는 방식으로 컴파일합니다. 키 스택은 무제한의 객체 또는 배열 중첩에 따라 증가하므로, 깊이 D만큼 중첩된 문서는 현재 깊이에 비례하여 비용이 증가하는 D개의 결합(join) 연산을 유발하며, 이는 단일 스레드 이벤트 루프에서 2차원(quadratic) CPU 소비를 초래합니다. 이 결합은 규칙 일치 결정 전에 발생하므로 공격자는 대상 스키마를 알 필요가 없습니다. 함수 필터만 사용하거나 규칙을 사용하지 않는 소비자들은 영향을 받지 않습니다. 조작된 중첩 문서는 이를 영향받는 FlexAssembler에 공급하는 프로세스의 모든 동시 작업을 마비시킬 수 있습니다. 이 문제는 기본 최대 깊이를 추가한 3.7.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.