flatの脆弱性でサービス拒否の恐れ 6.0.1以前が対象
Summary
flatの6.0.1までのバージョンには、unflatten()関数の処理に脆弱性があります。細工されたキーを与えられると巨大な疎配列が作られ、Node.jsのイベントループが停止して、サービス拒否の状態になるおそれがあります。公開された情報では修正版は確認できていないため、最新の情報を確認してください。CVSSは3.1で5.9、4.0で8.2です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
flatの6.0.1までのバージョンには、unflatten()関数の処理に脆弱性があります。細工されたキーを与えられると巨大な疎配列が作られ、Node.jsのイベントループが停止して、サービス拒否の状態になるおそれがあります。公開された情報では修正版は確認できていないため、最新の情報を確認してください。CVSSは3.1で5.9、4.0で8.2です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| hughsk | flat |
≤ 6.0.1 |
— |
Original description The description as published by the source.
flat through 6.0.1 contains an uncontrolled resource allocation vulnerability in unflatten() that allows attackers to create huge sparse arrays via unbounded numeric keys. Attackers can supply flattened keys such as a.4294967294, causing iteration with forEach, spread or JSON.stringify to block the Node.js event loop.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory