CVE-2026-84375 in js-yaml
Tóm tắt
Bởi VulDB • 02/09/2026
js-yaml là một trình phân tích cú pháp (parser) và bộ xuất dữ liệu (dumper) YAML cho JavaScript. Từ phiên bản 3.0.0 đến 3.15.2 và 4.3.2, tham số `maxTotalMergeKeys` trong các tệp `lib/js-yaml/loader.js` và `lib/loader.js` không tính toán các nguồn ánh xạ (mapping sources) rỗng khi xử lý khóa hợp nhất (`merge key`) `<<`. Một kẻ tấn công có thể tạo bí danh cho một chuỗi lớn các phép ánh xạ rỗng vào nhiều đích hợp nhất, gây ra quá trình xử lý với độ phức tạp O(N * K) trong khi tổng số `maxTotalMergeKeys` không thay đổi và giới hạn tài nguyên được cấu hình chưa bao giờ bị đạt tới. Do đó, một tài liệu YAML tương đối nhỏ có thể gây tiêu thụ CPU kéo dài trên các ứng dụng phân tích cú pháp YAML từ nguồn không đáng tin cậy, và quá trình xử lý hợp nhất (merge processing) được bật theo mặc định trong các dòng phát hành này. Vấn đề này đã được khắc phục trong các phiên bản 3.15.2 và 4.3.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.