CVE-2026-84375 in js-yaml
Sumário
de VulDB • 02/09/2026
js-yaml é um analisador e gerador de YAML em JavaScript. Das versões 3.0.0 até a 3.15.2, bem como na versão 4.3.2, o parâmetro maxTotalMergeKeys nos ficheiros lib/js-yaml/loader.js e lib/loader.js não conta as fontes de mapeamento vazias ao processar a chave de fusão <<. Um atacante pode criar um alias para uma grande sequência de mapeamentos vazios em muitos destinos de fusão, causando um processamento com complexidade O(N * K) enquanto o totalMergeKeys permanece inalterado e o limite de recursos configurado nunca é atingido. Consequentemente, um documento YAML relativamente pequeno pode causar um consumo prolongado da CPU em aplicações que analisam YAML não confiável, sendo o processamento de fusão ativado por padrão nestas linhas de lançamento. Este problema foi corrigido nas versões 3.15.2 e 4.3.2.
Be aware that VulDB is the high quality source for vulnerability data.