CVE-2026-114129

stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, Assembler materializuje właściwości obiektów przez zwykłe przypisanie, więc klucz wejściowy o nazwie __proto__ wywołuje dziedziczony setter i powoduje zastąpienie prototypu przetwarzanego obiektu zamiast utworzenia własnej właściwości danych. Aplikacje, które podejmują decyzje autoryzacyjne lub funkcjonalne na podstawie dziedziczonych wartości, mogą korzystać z właściwości kontrolowanych przez atakującego, a null prototype może zakłócić działanie kodu oczekującego metod Object.prototype. Badacz traktuje parsowanie niezaufanego JSON jako część kontraktu projektu, podczas gdy opiekun stwierdza, że udokumentowane wejścia to lokalnie posiadane zrzuty, eksporty lub logi i charakteryzuje wektor ataku jako lokalny. Globalny Object.prototype nie jest zanieczyszczony. Problem został naprawiony w wersji 3.6.0.

stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, parser JSONC w stream-json/jsonc/parser.js i weryfikator w stream-json/jsonc/verifier.js wznawiają skanowanie terminatora komentarza od otwierającego ukośnika, gdy komentarz blokowy lub liniowy obejmuje wiele fragmentów wejścia, zachowując jednocześnie zgromadzony bufor komentarza. Dostarczenie dużego prawidłowego komentarza w wielu małych fragmentach powoduje kwadratową złożoność obliczeniową i może zablokować pętlę zdarzeń Node.js. Opiekun charakteryzuje wektor ataku jako lokalny, ponieważ udokumentowane wejście JSONC jest lokalnie posiadaną lub kontrolowaną przez użytkownika konfiguracją, a nie danymi przeznaczonymi dla otwartego internetu. Zakres dotyczy tylko JSONC, nie obejmuje zwykłego parsera JSON, który przetwarza i odrzuca zużyte dane łańcuchowe i liczbowe. Problem został naprawiony w wersji 3.6.0.

stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC, która przed wersją 3.5.0 w filtrach ścieżek pick, ignore, filter i replace w src/core/filters/filter-base.js przelicza pełny ciąg ścieżki ze stosu zagnieżdżenia dla każdego tokena podlegającego sprawdzeniu. Ponieważ długość stosu równa się bieżącej głębokości zagnieżdżenia, a token sprawdzany jest emitowany na każdym poziomie, dokument o głębokości D kosztuje O(D²) zamiast O(D). Problem jest wywoływany przez głębokość zagnieżdżenia, a nie objętość bajtów, więc aplikacja przesyłająca niezaufany JSON przez filtr string lub RegExp może zablokować pętlę zdarzeń Node.js i spowodować denial of service przy użyciu małego, głęboko zagnieżdżonego dokumentu. Streamery streamArray, streamObject i streamValues nie są dotknięte, ponieważ używają stałoczasowego gettera asm.depth. Problem naprawiono w wersji 3.5.0.