CVE-2026-106447

WysokieCVSS 8.7

Opublikowano: 06/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Biblioteka StableLib przed wersją 2.0.4 zawiera podatność w dekoderze CBOR, która nie ogranicza głębokości zagnieżdżenia struktur danych. Zbyt głęboka struktura może spowodować przepełnienie stosu JavaScript, prowadząc do awarii procesu lub usługi.

Ocena ryzyka

Ryzyko obejmuje denial-of-service (DoS) poprzez wysłanie specjalnie spreparowanych danych, które mogą zatrzymać działanie aplikacji lub procesu. Może to prowadzić do przerwania dostępności usług.

Rekomendacja

Zaleca się aktualizację do wersji 2.0.4, która wprowadza limit głębokości zagnieżdżenia. Dodatkowo warto dodać walidację danych wejściowych przed ich przetworzeniem.

Inne podatności w StableLib

CVE-2026-106448Wysokie
Biblioteka StableLib przed wersją 2.0.4 zawiera podatność w dekoderze CBOR, która pozwala atakującemu na wstrzyknięcie klucza '__proto__' do obiektu JavaScript. Powoduje to nadpisanie prototypu obiektu, co może prowadzić do podejmowania decyzji bezpieczeństwa na podstawie danych kontrolowanych przez atakującego.

Oryginalny opis (angielski, źródło NVD)

StableLib is a stable library of useful TypeScript and JavaScript code. Prior to 2.0.4, the @stablelib/cbor decoder recursively processes nested CBOR arrays, maps, and tags through _decodeValue() without enforcing a maximum nesting depth. A sufficiently deep structure exhausts the JavaScript call stack, causing a decoding exception and potentially terminating an uncaught request worker or process. This issue is fixed in version 2.0.4.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS