CVE-2026-118772
joi: quadratic-time split in `string().email({ multiple: true })` allows denial of service
CVSS 3.1Medium
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите пакет joi до версий 17.13.9, 18.3.1 или более поздних.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Квадратичная вычислительная сложность в правиле валидации Joi.string().email() приводит к отказу в обслуживании. Дефект проявляется при использовании опции multiple: true.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Регулярное выражение разделителя в Joi.string().email({ multiple: true }) инициирует повторный прогон квантификатора пробелов на каждом символе длинной пробельной строки без разделителя внутри String.prototype.split.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Обработка входных данных без предшествующего лимита длины блокирует Event Loop Node.js на несколько секунд за один запрос, вызывая DoS всего приложения.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/hapijs/joi/security/advisories/GHSA-4528-x5fx-h6hg
- github.comhttps://github.com/hapijs/joi/pull/3162
- github.comhttps://github.com/hapijs/joi/pull/3163
- github.comhttps://github.com/hapijs/joi/commit/03dc1d909818503b06240dadc81e9227ed2649cf
- github.comhttps://github.com/hapijs/joi/commit/807858d7480f5075b0610817e3e44230890fb18e
- github.comhttps://github.com/hapijs/joi/releases/tag/v17.13.9
- github.comhttps://github.com/hapijs/joi/releases/tag/v18.3.1
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-118772: joi: quadratic-time split in `string().email({ multiple: true })` allows denial of service. URL: https://cve.futuretools.ru/cve/CVE-2026-118772
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_118772,
title = {{CVE-2026-118772: joi: quadratic-time split in `string().email( multiple: true )` allows denial of service}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-118772}},
note = {Оперативный инженерный анализ киберугроз}
}