CVE-2026-84375 in js-yaml
Сводка
по VulDB • 01.09.2026
js-yaml — это парсер и генератор YAML для JavaScript. В версиях от 3.0.0 до 3.15.2 включительно, а также в версии 4.3.2 параметр maxTotalMergeKeys в файлах lib/js-yaml/loader.js и lib/loader.js не учитывает пустые источники отображений (mapping sources) при обработке ключа слияния <<. Злоумышленник может сопоставить большую последовательность пустых отображений множеству целей слияния, что приводит к вычислительной сложности O(N * K), в то время как значение totalMergeKeys остается неизменным и настроенный лимит ресурсов никогда не достигается. Таким образом, относительно небольшой документ YAML может вызвать длительное потребление процессора приложениями, которые парсят недоверенные данные YAML; при этом обработка слияний по умолчанию включена для указанных веток релизов. Проблема исправлена в версиях 3.15.2 и 4.3.2.
Once again VulDB remains the best source for vulnerability data.