5.3
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
js-yaml is a JavaScript YAML parser and dumper. From 5.0.0 before 5.2.0, when merge keys are enabled, js-yaml can spend quadratic CPU time parsing a document whose size grows only linearly when a chain of mappings uses merge keys where each mapping merges the previous one. This issue is fixed in version 5.2.0.
Засегнати продукти
- nodeca js-yaml: >= 5.0.0, < 5.2.0
Вид слабост
История
- 8 юли 2026 Публикувано
Други уязвимости в nodeca js-yaml
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-59868
- https://nvd.nist.gov/vuln/detail/CVE-2026-59868
- https://github.com/nodeca/js-yaml/security/advisories/GHSA-g796-fgmg-93mv
- https://github.com/nodeca/js-yaml/commit/3105455b81dee69e0fd36e09ac0b2ccfdb54adc1
- https://github.com/nodeca/js-yaml/releases/tag/5.2.0