CVE-2026-71429
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC, która przed wersją 3.5.0 w filtrach ścieżek pick, ignore, filter i replace w src/core/filters/filter-base.js przelicza pełny ciąg ścieżki ze stosu zagnieżdżenia dla każdego tokena podlegającego sprawdzeniu. Ponieważ długość stosu równa się bieżącej głębokości zagnieżdżenia, a token sprawdzany jest emitowany na każdym poziomie, dokument o głębokości D kosztuje O(D²) zamiast O(D). Problem jest wywoływany przez głębokość zagnieżdżenia, a nie objętość bajtów, więc aplikacja przesyłająca niezaufany JSON przez filtr string lub RegExp może zablokować pętlę zdarzeń Node.js i spowodować denial of service przy użyciu małego, głęboko zagnieżdżonego dokumentu. Streamery streamArray, streamObject i streamValues nie są dotknięte, ponieważ używają stałoczasowego gettera asm.depth. Problem naprawiono w wersji 3.5.0.
Ocena ryzyka
Atakujący może spowodować denial of service (DoS) poprzez zablokowanie pętli zdarzeń Node.js, co prowadzi do niedostępności aplikacji.
Rekomendacja
Zaleca się aktualizację biblioteki stream-json do wersji 3.5.0 lub nowszej, która zawiera poprawkę.
Inne podatności w stream-json
Zobacz wszystkie- CVE-2026-104183Średnie
stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, Assembler materializuje właściwości obiektów przez zwykłe przypisanie, więc klucz wejściowy o nazwie __proto__ wywołuje dziedziczony setter i powoduje zastąpienie prototypu przetwarzanego obiektu zamiast utworzenia własnej właściwości danych. Aplikacje, które podejmują decyzje autoryzacyjne lub funkcjonalne na podstawie dziedziczonych wartości, mogą korzystać z właściwości kontrolowanych przez atakującego, a null prototype może zakłócić działanie kodu oczekującego metod Object.prototype. Badacz traktuje parsowanie niezaufanego JSON jako część kontraktu projektu, podczas gdy opiekun stwierdza, że udokumentowane wejścia to lokalnie posiadane zrzuty, eksporty lub logi i charakteryzuje wektor ataku jako lokalny. Globalny Object.prototype nie jest zanieczyszczony. Problem został naprawiony w wersji 3.6.0.
- CVE-2026-104182Średnie
stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, parser JSONC w stream-json/jsonc/parser.js i weryfikator w stream-json/jsonc/verifier.js wznawiają skanowanie terminatora komentarza od otwierającego ukośnika, gdy komentarz blokowy lub liniowy obejmuje wiele fragmentów wejścia, zachowując jednocześnie zgromadzony bufor komentarza. Dostarczenie dużego prawidłowego komentarza w wielu małych fragmentach powoduje kwadratową złożoność obliczeniową i może zablokować pętlę zdarzeń Node.js. Opiekun charakteryzuje wektor ataku jako lokalny, ponieważ udokumentowane wejście JSONC jest lokalnie posiadaną lub kontrolowaną przez użytkownika konfiguracją, a nie danymi przeznaczonymi dla otwartego internetu. Zakres dotyczy tylko JSONC, nie obejmuje zwykłego parsera JSON, który przetwarza i odrzuca zużyte dane łańcuchowe i liczbowe. Problem został naprawiony w wersji 3.6.0.
Oryginalny opis (angielski, źródło NVD)
stream-json is a micro-library of stream components for processing JSON and JSONC with a minimal memory footprint. Prior to 3.5.0, the path filters pick, ignore, filter, and replace in src/core/filters/filter-base.js recompute the full path string from the nesting stack for every checkable token. Because the stack length equals the current nesting depth and a checkable token is emitted at every level, a depth D document costs O(D²) rather than O(D) to process. The issue is triggered by nesting depth rather than byte volume, including the documented pick({filter: 'data'}) traversal-until-match path, so an application that sends untrusted JSON through a string or RegExp filter can block the Node.js event loop and cause denial of service with a small deeply nested document. The streamArray, streamObject, and streamValues streamers are not affected because they use the constant-time asm.depth getter. This issue is fixed in version 3.5.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS