CVE-2026-118664 in decode-uri-component
요약
\~에 의해 VulDB • 2026. 10. 28.
decode-uri-component는 decodeURIComponent에 대한 더 강력한 대안을 제공합니다. 버전 0.5.1 이전의 index.js에 있는 decodeUriComponent는 네이티브 디코딩 중 예외가 발생하면 customDecodeURIComponent로 폴백하며, 이 폴백 메커니즘은 각 항목에 대해 전체 문자열 정규식 치환을 수행하기 전에 모든 고유한 percent-encoded 구문을 수집합니다. 따라서 여러 개의 고유한 구문을 포함하는 손상된 입력의 경우 치환 횟수와 스캔되는 입력 길이가 함께 증가하여 2차원(Cubic) CPU 소비를 유발하고 Node.js 이벤트 루프를 차단할 수 있습니다. request-body 입력은 시연된 크기에 도달할 수 있는 반면, 일반적인 URL 헤더 제한은 실제 지연 시간을 줄여줍니다. 이 문제는 버전 0.5.1에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.