CVE-2026-32141

WysokieCVSS 7.5

Opublikowano: 12/03/2026(UTC)Zaktualizowano: 04/09/2026(UTC)Przetłumaczono: 18/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.81%

Percentyl 54 - wyżej niż 54% wszystkich znanych CVE

Streszczenie

Biblioteka flatted do parsowania cyklicznego JSON zawiera podatność na przepełnienie stosu. Funkcja parse() używa rekurencyjnej fazy revive() do rozwiązywania cyklicznych referencji, co przy specjalnie spreparowanym ładunku z głęboko zagnieżdżonymi lub samoodnoszącymi się indeksami $ prowadzi do nieograniczonej rekurencji i awarii procesu Node.js.

Ocena ryzyka

Atakujący może zdalnie spowodować awarię aplikacji Node.js używającej biblioteki flatted do parsowania niezaufanych danych JSON, co prowadzi do przerwania działania usługi (DoS).

Rekomendacja

Należy natychmiast zaktualizować bibliotekę flatted do wersji 3.4.0 lub nowszej, która zawiera poprawkę eliminującą nieograniczoną rekurencję.

Inne podatności w flatted

CVE-2026-33228Krytyczne
Biblioteka flatted do parsowania JSON w wersji przed 3.4.2 pozwala atakującemu na wstrzyknięcie klucza '__proto__' jako indeksu tablicy, co prowadzi do wycieku referencji do Array.prototype. W efekcie kod kliencki może przypadkowo modyfikować globalny prototyp, powodując zanieczyszczenie prototypu (prototype pollution).

Oryginalny opis (angielski, źródło NVD)

flatted is a circular JSON parser. Prior to 3.4.0, flatted's parse() function uses a recursive revive() phase to resolve circular references in deserialized JSON. When given a crafted payload with deeply nested or self-referential $ indices, the recursion depth is unbounded, causing a stack overflow that crashes the Node.js process. This vulnerability is fixed in 3.4.0.