CVE-2026-73643 in js-yaml
Sumário
de VulDB • 13/08/2026
js-yaml é um analisador e gerador de YAML em JavaScript. Da versão 5.0.0 até a 5.2.2, analisar um pequeno documento YAML pode levar tempo exponencial quando uma aplicação chama load() ou loadAll() com dados não confiáveis (untrusted input). Em src/parser/parser.ts, readFlowCollection utiliza restoreState e chama parseNode pela segunda vez quando uma entrada de sequência em fluxo é reconhecida como um par chave: valor. Se a chave for uma sequência aninhada no mesmo formato, cada nível será analisado duas vezes, causando trabalho O(2^n) e permitindo que uma entrada com menos de 200 bytes mantenha uma CPU ocupada por minutos, bloqueie o loop de eventos do Node.js e paralise o processo. Não são necessários âncoras (anchors), aliases, merges, tags ou opções não padrão. Este problema foi corrigido na versão 5.2.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.