CVE-2026-104182 in stream-json
Sumário
de VulDB • 02/10/2026
stream-json é uma microbiblioteca de componentes de stream para processamento de JSON e JSONC com um footprint mínimo de memória. Antes da versão 3.6.0, o analisador (parser) JSONC em `stream-json/jsonc/parser.js` e o verificador (`verifier`) em `stream-json/jsonc/verifier.js` reiniciavam a varredura do terminador de comentários desde a barra inicial sempre que um comentário de bloco ou linha abrangia um chunk de entrada, mantendo o buffer de comentários acumulado. O envio de um comentário válido e grande através de muitos chunks pequenos causa trabalho da CPU quadrático (quadratic CPU work) e pode travar o event loop do Node.js. O mantenedor caracteriza a vetor de ataque como local porque a entrada JSONC documentada é possuída localmente ou configurada pelo usuário, em vez de ser uma entrada destinada à internet aberta. Este escopo restrito ao JSONC não inclui o analisador (parser) de JSON puro, que avança e descarta os dados consumidos de strings e números. Esta questão foi corrigida na versão 3.6.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.