CVE-2026-118664

WysokieCVSS 8.2

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

W pakiecie decode-uri-component przed wersją 0.5.1 funkcja decodeUriComponent po niepowodzeniu natywnego dekodowania korzysta z fallbacku, który zbiera wszystkie odrębne sekwencje procentowe i wykonuje dla każdej pełne zastąpienie wyrażeniem regularnym. Złośliwe dane wejściowe z wieloma odrębnymi sekwencjami mogą powodować kwadratowe zużycie CPU i blokować pętlę zdarzeń Node.js.

Ocena ryzyka

Atakujący może wywołać atak typu denial of service poprzez blokowanie pętli zdarzeń Node.js, co prowadzi do niedostępności usługi.

Rekomendacja

Zaktualizuj decode-uri-component do wersji 0.5.1 lub nowszej. Rozważ ograniczenie rozmiaru danych wejściowych przetwarzanych przez tę funkcję.

Inne podatności w decode-uri-component

CVE-2026-45822Średnie
Biblioteka decode-uri-component w wersji do 0.4.1 jest podatna na atak typu odmowa usługi (DoS). Funkcja decode() dzieli wejście na tokeny według znaku '%', a następnie wywołuje decodeComponents(), co prowadzi do super-liniowego czasu przetwarzania: 200 tokenów '%ab' zajmuje około 0,7s, 700 tokenów około 6s, a 1400 tokenów około 33s. Atakujący może wykorzystać spreparowane dane wejściowe do znacznego obciążenia procesora i zablokowania pętli zdarzeń.

Oryginalny opis (angielski, źródło NVD)

decode-uri-component provides a more robust alternative to decodeURIComponent. Prior to 0.5.1, decodeUriComponent in index.js falls back to customDecodeURIComponent after native decoding throws, and the fallback collects every distinct percent-encoded run before performing a full-string regular-expression replacement for each entry. Malformed input containing many distinct runs can therefore make both the number of replacements and the scanned input length grow together, causing quadratic CPU consumption and blocking the Node.js event loop; request-body inputs can reach the demonstrated size, while ordinary URL header limits reduce the practical delay. This issue is fixed in version 0.5.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS