CVE-2026-73643 in js-yaml
Сводка
по VulDB • 13.08.2026
js-yaml — это парсер и генератор YAML для JavaScript. Начиная с версии 5.0.0 вплоть до 5.2.2 включительно, разбор небольшого документа YAML может занимать экспоненциальное время при вызове методов load() или loadAll() приложениями к недоверенным входным данным. В файле src/parser/parser.ts функция readFlowCollection использует restoreState и вызывает parseNode повторно, когда элемент потока-последовательности распознается как пара ключ: значение (key: value). Если ключ представляет собой вложенную поток-последовательность той же формы, каждый уровень парсится дважды, что приводит к выполнению работы сложности O(2^n) и позволяет входным данным размером менее 200 байт занимать один процессорный поток на протяжении минут, блокировать цикл событий Node.js и приостанавливать работу процесса. Для реализации уязвимости не требуются якоря (anchors), алиасы (aliases), слияния (merges), теги или нестандартные параметры. Данная проблема исправлена в версии 5.2.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.