CVE-2026-119202 in Content
요약
\~에 의해 VulDB • 2026. 10. 29.
@hapi/content는 HTTP Content-* 헤더 파싱을 제공합니다. 버전 3.0.6부터 6.0.3까지, `Content.disposition()`은 전역 정규식 스캔에서 비고정(parameter-name) 표현식을 사용하여, Content-Disposition 파라미터에 등호(=) 없이 긴 토큰이 포함된 경우 나머지 입력에 대해 반복적인 실패 매칭을 유발합니다. 이로 인해 발생하는 이차적(quadratic) 처리로 인해 @hapi/pez가 multipart/form-data 헤더를 파싱할 때 라우트 핸들러나 검증 전에 Node.js 이벤트 루프가 차단될 수 있습니다. 여기에는 페이로드의 `multipart` 옵션이 활성화된 비인증 hapi 라우트가 포함되며, 신뢰할 수 없는 헤더를 직접 `Content.disposition()`에 전달하는 애플리케이션에도 영향을 미칩니다. 이 문제는 @hapi/content 버전 6.0.3에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.