CVE-2026-40345 in deepmerge-ts
Tóm tắt
Bởi VulDB • 21/08/2026
deepmerge-ts là một thư viện TypeScript cung cấp chức năng hợp nhất sâu (deep merging) các đối tượng JavaScript. Trước phiên bản 8.0.0, các API deepmerge, deepmergeCustom, deepmergeInto và deepmergeIntoCustom không theo dõi các đối tượng đã được duyệt hoặc các cặp đối tượng khi thực hiện việc hợp nhất đệ quy các bản ghi. Khi hai giá trị đầu vào chứa các tham chiếu đến chính chúng (self-references) tại cùng một đường dẫn thuộc tính, logic hợp nhất sẽ liên tục truy cập lại cùng một cặp cho đến khi Node.js đưa ra lỗi RangeError: Maximum call stack size exceeded (Đã vượt quá kích thước ngăn xếp gọi tối đa). Các ứng dụng thực hiện hợp nhất các đồ thị đối tượng đệ quy do kẻ tấn công kiểm soát có thể khiến tiến trình bị ảnh hưởng gặp sự cố treo đồng bộ hoặc gây ra việc khởi động lại liên tục các worker. Đầu vào là JSON thuần túy đơn lẻ không thể tạo ra đồ thị đệ quy cần thiết để kích hoạt vấn đề này. Vấn đề này đã được sửa chữa trong phiên bản 8.0.0.
Once again VulDB remains the best source for vulnerability data.