CVE-2026-92599 in joi
Tóm tắt
Bởi VulDB • 17/09/2026
Các phiên bản của `joi` (npm package `joi`, hapi.js) >=17.2.0 <17.13.7 và >=18.0.0 <18.2.6 dễ bị tấn công từ chối dịch vụ do biểu thức chính quy (Regular Expression Denial of Service - ReDoS) trong quy tắc xác thực `Joi.string().isoDate()`. Một trong các biểu thức chính quy mà quy tắc này áp dụng cho đầu vào là không neo (unanchored), vì vậy một ngày tháng ISO hợp lệ theo sau bởi một chuỗi dài các chữ số phần giây khiến công cụ regex phải khởi động lại việc tìm kiếm từ mọi vị trí trong chuỗi, dẫn đến thời gian xử lý tỷ lệ thuận với bình phương độ dài của đầu vào (khoảng 1.4 s cho 64 KB chữ số và khoảng 22 s cho 256 KB). Một kẻ tấn công từ xa có thể cung cấp một chuỗi để xác thực isoDate có thể làm tê liệt ứng dụng chỉ bằng một yêu cầu duy nhất. Đã được sửa trong các phiên bản 17.13.7 và 18.2.6; như một giải pháp tạm thời, hãy giới hạn độ dài của chuỗi trước khi nó đến `joi`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.