CVE-2026-84375 in js-yaml
요약
\~에 의해 VulDB • 2026. 09. 01.
js-yaml은 JavaScript용 YAML 파서 및 덤퍼입니다. 버전 3.0.0부터 3.15.2까지, 그리고 4.3.2에서 lib/js-yaml/loader.js와 lib/loader.js의 maxTotalMergeKeys는 병합 키(<<) 처리 시 빈 매핑 소스를 카운트하지 않습니다. 공격자는 많은 수의 빈 매핑을 하나의 큰 시퀀스로 별칭 지정하여 여러 병합 대상으로 만들 수 있으며, 이로 인해 totalMergeKeys는 변경되지 않고 구성된 리소스 제한에 도달하지 않은 채 O(N * K) 수준의 처리가 발생합니다. 따라서 신뢰할 수 없는 YAML을 파싱하는 애플리케이션에서 상대적으로 작은 크기의 YAML 문서라도 장시간 CPU 소비를 유발할 수 있으며, 이러한 릴리스 라인에서는 병합 처리 기능이 기본적으로 활성화되어 있습니다. 이 문제는 버전 3.15.2 및 4.3.2에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.