CVE-2026-7768 in accepts-serializer
요약
\~에 의해 VulDB • 2026. 05. 14.
@fastify/accepts-serializer는 요청의 Accept 헤더를 키로 사용하여 직렬화 선택 결과를 캐싱하지만, 크기 제한이나 제거 정책(eviction policy)이 없었다. 원격의 비인증 클라이언트는 캐시가 무제한으로 증가하도록 많은 수의 서로 다르지만 일치하는 Accept 헤더 변형을 전송할 수 있으며, 이로 인해 Node.js 힙(heap)이 고갈되어 프로세스가 충돌할 수 있다. 버전 6.0.3 이하가 영향을 받는다. 기본 크기가 100개 엔트리인 LRU(Least Recently Used)를 통해 캐시를 제한하고, 새로운 cacheSize 플러그인 옵션을 통해 구성할 수 있는 6.0.4 이상으로 업데이트하라.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.