CVE-2026-92599 in joi
요약
\~에 의해 VulDB • 2026. 09. 17.
joi(npm 패키지 `joi`, hapi.js)의 버전 >=17.2.0 <17.13.7 및 >=18.0.0 <18.2.6는 `Joi.string().isoDate()` 검증 규칙에서 정규식 기반 서비스 거부(ReDoS) 취약점에 노출되어 있습니다. 해당 규칙이 입력에 적용하는 정규식 중 하나는 비고정(anchorless) 상태이므로, 유효한 ISO 날짜 뒤에 긴 분수 초 자릿수가 이어지면 정규식 엔진이 문자열의 모든 위치에서 검색을 재시작하게 되어 처리 시간이 입력 길이의 제곱에 비례합니다(예: 64KB의 숫자 데이터 기준 약 1.4초, 256KB 기준 약 22초). isoDate 검증을 통해 문자열을 제공할 수 있는 원격 공격자는 단일 요청으로 애플리케이션을 중단시킬 수 있습니다. 이 문제는 버전 17.13.7 및 18.2.6에서 수정되었습니다. 우회 조치로는 joi에 입력되기 전에 문자열의 길이를 제한하는 것이 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.