- Son 7 gün
- CWE-407
CVE-2026-114129
stream-json FlexAssembler'da dize ve RegExp yol filtreleri nedeniyle hizmet dışı bırakma (DoS) riski
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
stream-json, JSON ve JSONC verilerini minimum bellek kullanımıyla işlemek için kullanılan stream bileşenlerinden oluşan bir mikro kütüphanedir. 2.0.0 ile 3.7.0 arasındaki sürümlerde FlexAssembler, dize ve düzenli ifade (RegExp) yol filtrelerini, her kapsayıcı başlangıcında tam anahtar yığınını birleştiren eşleştiricilere dönüştürmektedir. Anahtar yığını, sınırsız nesne veya dizi iç içe geçmesiyle büyüdüğünden, D derinliğinde iç içe geçmiş bir belge, mevcut derinliğe bağlı maliyeti artan D birleştirme işlemine yol açar; bu da tek iş parçacıklı olay döngüsünde ikinci dereceden (karesel) CPU tüketimiyle sonuçlanır. Birleştirme işlemi kural eşleşme kararından önce gerçekleştiğinden, saldırganın hedef şemayı bilmesi gerekmez. Yalnızca fonksiyon filtreleri kullanan veya hiç kural kullanmayan tüketiciler etkilenmez. Etkilenen bir FlexAssembler'a bu tür özel hazırlanmış iç içe bir belge besleyen bir süreç, aynı anda çalışan tüm işlemleri durdurabilir. Sorun, varsayılan bir maksimum derinlik ekleyen 3.7.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
stream-json is a micro-library of stream components for processing JSON and JSONC with a minimal memory footprint. From 2.0.0 until 3.7.0, FlexAssembler compiles string and regular-expression path filters into matchers that join the full key stack on every container start. Because the key stack grows with unbounded object or array nesting, a document nested to depth D causes D joins whose cost grows with the current depth, resulting in quadratic CPU consumption on the single-threaded event loop. The join occurs before the rule match decision, so the attacker does not need to know the target schema. Consumers using only function filters or no rules are not affected. A crafted nested document can stall all concurrent work in a process that feeds it to an affected FlexAssembler. This issue is fixed in 3.7.0, which adds a default maximum depth.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| uhop stream-json | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.