CVE-2026-114129
stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service
CVSS 3.1Medium
6.2/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.7.0
Обновить библиотеку stream-json до версии 3.7.1 или выше, либо использовать функциональные фильтры путей.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Нерекурсивная квадратичная сложность при разборе вложенных JSON-структур в библиотеке stream-json приводит к исчерпанию ресурсов CPU и отказу в обслуживании (DoS).
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В FlexAssembler фильтры путей на основе string и RegExp компилируются в сопоставители, объединяющие полный стек ключей на каждом открытии контейнера. При глубокой вложенности алгоритм деградирует до сложности O(depth^2).
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Блокировка однопоточного цикла событий (event loop) Node.js специально сформированным JSON-документом, вызывающая полный DoS сервиса.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
uhopstream-json
>= 2.0.0➔Fix: 3.7.0
——
>= 2.0.0➔Fix: 3.7.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/uhop/stream-json/security/advisories/GHSA-jj87-hc4r-jwfw
- github.comhttps://github.com/uhop/stream-json/commit/1929fd80495d45b47e8f8cb1d4e132f915aef012
- github.comhttps://github.com/uhop/stream-json/commit/c06c9a3c02adef89543e26ecebb45837cb284512
- github.comhttps://github.com/uhop/stream-json/releases/tag/3.7.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114129: stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service. URL: https://cve.futuretools.ru/cve/CVE-2026-114129
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114129,
title = {{CVE-2026-114129: stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114129}},
note = {Оперативный инженерный анализ киберугроз}
}