CVE-2026-104182

stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, Assembler materializuje właściwości obiektów przez zwykłe przypisanie, więc klucz wejściowy o nazwie __proto__ wywołuje dziedziczony setter i powoduje zastąpienie prototypu przetwarzanego obiektu zamiast utworzenia własnej właściwości danych. Aplikacje, które podejmują decyzje autoryzacyjne lub funkcjonalne na podstawie dziedziczonych wartości, mogą korzystać z właściwości kontrolowanych przez atakującego, a null prototype może zakłócić działanie kodu oczekującego metod Object.prototype. Badacz traktuje parsowanie niezaufanego JSON jako część kontraktu projektu, podczas gdy opiekun stwierdza, że udokumentowane wejścia to lokalnie posiadane zrzuty, eksporty lub logi i charakteryzuje wektor ataku jako lokalny. Globalny Object.prototype nie jest zanieczyszczony. Problem został naprawiony w wersji 3.6.0.

stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC, która przed wersją 3.5.0 w filtrach ścieżek pick, ignore, filter i replace w src/core/filters/filter-base.js przelicza pełny ciąg ścieżki ze stosu zagnieżdżenia dla każdego tokena podlegającego sprawdzeniu. Ponieważ długość stosu równa się bieżącej głębokości zagnieżdżenia, a token sprawdzany jest emitowany na każdym poziomie, dokument o głębokości D kosztuje O(D²) zamiast O(D). Problem jest wywoływany przez głębokość zagnieżdżenia, a nie objętość bajtów, więc aplikacja przesyłająca niezaufany JSON przez filtr string lub RegExp może zablokować pętlę zdarzeń Node.js i spowodować denial of service przy użyciu małego, głęboko zagnieżdżonego dokumentu. Streamery streamArray, streamObject i streamValues nie są dotknięte, ponieważ używają stałoczasowego gettera asm.depth. Problem naprawiono w wersji 3.5.0.