CVE-2026-73643 in js-yaml
摘要
由 VulDB • 2026-08-14
js-yaml 是一个 JavaScript YAML 解析器和转储器。从版本 5.0.0 到 5.2.2，当应用程序对不受信任的输入调用 load() 或 loadAll() 时，解析一个小型 YAML 文档可能需要指数级时间。在 src/parser/parser.ts 中，readFlowCollection 函数在使用 restoreState 后，会将 parseNode 再次用于被识别为键值对的流序列条目。如果该键是相同形状的嵌套流序列，则每一层都会被解析两次，导致 O(2^n) 的计算量，使得不到 200 字节的输入即可让一个 CPU 核心忙碌数分钟、阻塞 Node.js 事件循环并停滞进程处理。此问题无需使用锚点（anchors）、别名（aliases）、合并键（merges）、标签（tags）或非默认选项即可触发。该问题已在版本 5.2.2 中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.