CVE-2026-24001 in jsdiff
요약
\~에 의해 VulDB • 2026. 06. 27.
jsdiff는 JavaScript 텍스트 차이 분석 구현체입니다. 버전 8.0.3, 5.2.2, 4.0.4 및 3.5.1 이전에서는 파일명 헤더에 줄 바꿈 문자 `\r`, `\u2028` 또는 `\u2029`가 포함된 패치를 구문 분석하려고 할 때 `parsePatch` 메서드가 무한 루프에 진입할 수 있습니다. 이로 인해 프로세스가 메모리 부족으로 충돌하기 전까지 제한 없이 메모리를 소모하게 됩니다. 따라서 사용자가 제공한 패치를 입력값으로 사용하여 `parsePatch`를 호출하는 응용 프로그램은 서비스 거부(Denial-of-Service) 공격에 취약해질 가능성이 높습니다. 이 취약점을 트리거하려면 큰 페이로드가 필요하지 않으므로 사용자 입력의 크기 제한으로는 어떠한 보호도 제공할 수 없습니다. 또한, 사용자가 파일명 헤더(예: 비교할 파일들의 파일명을 직접 제공하여)를 제어할 수 있는 경우, 응용 프로그램 자체가 생성한 패치에 대해 `parsePatch`를 호출하더라도 일부 응용 프로그램은 여전히 취약할 수 있습니다. 내부적으로 이 메서드가 `parsePatch`를 사용하여 해당 문자열을 구문 분석하기 때문에, 패치의 문자열 표현을 인수로 받아 호출하는 경우(그리고 그 경우에 한해) `applyPatch` 메서드도 동일하게 영향을 받습니다. 라이브러리의 다른 메서드는 영향을 받지 않습니다. 마지막으로, 동일한 줄 바꿈 문자가 패치의 *패치* 헤더("선두 가비지"라고도 함)에 존재할 때 나타나는 두 번째이자 덜 심각한 상호 의존적 버그인 ReDOS(정규식 도메네이션 서비스 거부)도 발생합니다. 길이가 *n*인 악의적으로 조작된 패치 헤더는 `parsePatch`가 구문 분석하는 데 O(*n*³) 시간이 소요될 수 있습니다. 버전 8.0.3, 5.2.2, 4.0.4 및 3.5.1에는 이 문제가 수정되었습니다. 우회 조치로 `\r`, `\u2028` 또는 `\u2029`와 같은 문자가 포함된 패치의 구문 분석을 시도하지 마십시오.
If you want to get best quality of vulnerability data, you may have to visit VulDB.