CVE-2026-67213
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W bibliotece nanoid (Nano ID) przed wersją 5.1.6 występuje nieskończona pętla w funkcjach customAlphabet i customRandom. Gdy funkcje te są skonfigurowane z rozmiarem 0, wewnętrzna pętla generowania nigdy nie spełnia warunku wyjścia i kręci się w nieskończoność, zawieszając wątek wywołujący.
Ocena ryzyka
Aplikacja przekazująca niesprawdzony, kontrolowany przez atakującego rozmiar 0 do tych funkcji jest narażona na atak typu odmowa usługi (DoS), co może zakłócić działanie usługi.
Rekomendacja
Zaktualizuj bibliotekę nanoid do wersji 5.1.6 lub nowszej oraz zawsze waliduj dane wejściowe przed przekazaniem do funkcji customAlphabet i customRandom.
Inne podatności w nanoid
Zobacz wszystkie- CVE-2026-73086Wysokie
nanoid przed wersjami 3.3.12 i 5.1.11 ma podatność w funkcji nanoid(size), która konwertuje parametr size na 32-bitową liczbę całkowitą ze znakiem, co może prowadzić do uszkodzenia stanu generatora liczb losowych i generowania deterministycznych identyfikatorów.
- CVE-2026-67214Średnie
Biblioteka nanoid (Nano ID) przed wersjami 3.3.16 i 5.1.16 zawiera nieskończoną pętlę w funkcjach customAlphabet i nanoid modułu non-secure. Gdy funkcje te otrzymają ujemną wartość rozmiaru, licznik pętli jest dekrementowany od wartości ujemnej i nigdy nie osiąga warunku zakończenia, co powoduje zawieszenie wątku.
Oryginalny opis (angielski, źródło NVD)
nanoid (Nano ID) before 5.1.6 contains an infinite loop in the customAlphabet and customRandom functions. When these functions are configured with a size of 0, the internal generation loop never satisfies its exit condition and spins indefinitely, hanging the calling thread. An application that passes an unvalidated, attacker-controlled size of 0 to these functions is exposed to a denial-of-service condition.