- Yama var
- Son 7 gün
- CWE-400
- CWE-770
CVE-2026-114144
toml-node'da toml.parse ile aşırı uzun tam sayı değişmezleri CPU tüketimine ve hizmet dışı bırakmaya yol açıyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
toml-node, Node.js ve tarayıcı için bir TOML ayrıştırıcısıdır. 5.0.1 sürümünden önce, toml.parse fonksiyonu lib/parser.js dosyasından sınırsız uzunlukta onaltılık, sekizlik, ikilik ve ondalık rakam dizilerini, reduceInteger fonksiyonu (lib/compiler.js) bu sonucun TOML 64 bit tam sayı aralığına sığıp sığmadığını kontrol etmeden önce BigInt fonksiyonuna iletiyordu. Yeterince uzun bir tam sayı dizesinin dönüştürülmesi süper-doğrusal CPU süresi tüketir ve Node.js olay döngüsünü eşzamanlı olarak bloke eder; bu da saldırganın hazırladığı tek bir TOML belgesiyle, süreçteki eş zamanlı işlerin hizmet dışı bırakılmasına izin verir. Sonraki aralık kontrolü, BigInt çağrısından sonra çalıştığı için dönüştürme maliyetini engelleyemez. Bu sorun 5.0.1 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
toml-node is a TOML parser for Node.js and the browser. Prior to 5.0.1, toml.parse() passes unbounded hexadecimal, octal, binary, and decimal digit sequences from lib/parser.js to BigInt() before reduceInteger() in lib/compiler.js checks whether the resulting value fits the TOML 64-bit integer range. Converting a sufficiently long integer string consumes super-linear CPU time and synchronously blocks the Node.js event loop, allowing one attacker-supplied TOML document to deny service to concurrent work in the process. The later range check cannot prevent the conversion cost because it executes after BigInt(). This issue is fixed in version 5.0.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| BinaryMuse toml-node | < 5.0.1 | 5.0.1 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.