CVE-2026-85730

WysokieCVSS 8.2

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

smol-toml to mały, szybki i poprawny parser i serializator TOML. Przed wersją 1.7.1 funkcja parse() może wejść w nieskończoną pętlę, gdy wartość wewnątrz tablicy lub tabeli inline jest poprzedzona komentarzem bez kończącego znaku nowej linii. W src/util.ts funkcja skipUntil() wywołuje indexOfNewline(), otrzymuje -1 na końcu danych wejściowych i resetuje kursor na początek ciągu zamiast opuszczać skanowanie struktury. Parser następnie zawiesza się w nieskończoność i może zużywać moc obliczeniową usługi, gdy aplikacja analizuje dane TOML kontrolowane przez atakującego. Problem został naprawiony w wersji 1.7.1.

Ocena ryzyka

Organizacja może doświadczyć ataku DoS (odmowa usługi), ponieważ nieskończona pętla może wyczerpać zasoby procesora i spowodować niedostępność usług.

Rekomendacja

Zaleca się aktualizację smol-toml do wersji 1.7.1 lub nowszej.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

smol-toml is a small, fast, and correct TOML parser and serializer. Prior to 1.7.1, parse() can enter an infinite loop when a value inside an array or inline table is followed by a comment with no trailing newline. In src/util.ts, skipUntil() calls indexOfNewline(), receives -1 at the end of input, and resets the cursor to the beginning of the string instead of leaving the structure scan. The parser then hangs indefinitely and can consume a service's processing capacity when an application parses attacker-controlled TOML. This issue is fixed in version 1.7.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS