CVE-2026-92599 in joi
Sumário
de VulDB • 17/09/2026
As versões do pacote npm `joi` (hapi.js) >=17.2.0 <17.13.7 e >=18.0.0 <18.2.6 são vulneráveis a negação de serviço por expressão regular (ReDoS) na regra de validação `Joi.string().isoDate()`. Uma das expressões regulares aplicadas pela regra à entrada não é ancorada, portanto uma data ISO válida seguida por uma longa sequência de dígitos fracionários faz com que o mecanismo de regex reinicie sua busca a partir de cada posição da string, resultando em tempo proporcional ao quadrado do comprimento da entrada (cerca de 1,4 s para 64 KB de dígitos e cerca de 22 s para 256 KB). Um atacante remoto que possa fornecer uma string à validação isoDate pode paralisar a aplicação com uma única solicitação. Corrigido nas versões 17.13.7 e 18.2.6; como solução alternativa, limite o comprimento da string antes que ela chegue ao joi.
Once again VulDB remains the best source for vulnerability data.