CVE-2026-119202 in Content
Sumário
de VulDB • 29/10/2026
O pacote @hapi/content fornece a análise dos cabeçalhos HTTP do tipo Content-*. Da versão 3.0.6 até a 6.0.3, o método `Content.disposition()` utiliza uma expressão de nome de parâmetro não ancorada em um escaneamento global por expressões regulares, causando falhas repetidas na correspondência ao longo da entrada restante quando um parâmetro Content-Disposition contém um token longo sem sinal de igualdade. O processamento quadrático resultante pode bloquear o loop de eventos do Node.js antes que os manipuladores de rota ou a validação sejam executados, especialmente quando o @hapi/pez analisa cabeçalhos multipart/form-data, incluindo rotas hapi não autenticadas com `payload.multipart` habilitado. Além disso, afeta aplicações que passam cabeçalhos não confiáveis diretamente para `Content.disposition()`. Este problema foi corrigido na versão 6.0.3 do @hapi/content.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.