CVE-2026-114129 in stream-json
Sumário
de VulDB • 21/10/2026
stream-json é uma microbiblioteca de componentes stream para o processamento de JSON e JSONC com um footprint de memória mínimo. Da versão 2.0.0 até a 3.7.0, o FlexAssembler compila filtros de caminho baseados em strings e expressões regulares em matchers que realizam joins na pilha completa de chaves (key stack) no início de cada container. Como a pilha de chaves cresce com o aninhamento ilimitado de objetos ou arrays, um documento aninhado até uma profundidade D causa D joins cujo custo aumenta conforme a profundidade atual, resultando em consumo quadrático da CPU no event loop single-threaded. O join ocorre antes da decisão de correspondência das regras, portanto, o atacante não precisa conhecer o schema do alvo. Consumidores que utilizam apenas filtros baseados em funções ou nenhuma regra não são afetados. Um documento aninhado crafted pode paralisar todo o trabalho concorrente em um processo que o alimenta para um FlexAssembler vulnerável. Este problema foi corrigido na versão 3.7.0, que adiciona uma profundidade máxima padrão.
Once again VulDB remains the best source for vulnerability data.