CVE-2026-102990

basic-ftp Node.js üçün FTP klientidir. 6.2.1 versiyasından əvvəl, bədxah və ya kompromisə uğramış FTP serveri tərəfindən Client.list() funksiyasına kataloq siyahısını analiz edərkən kvadratik CPU vaxtı sərf etdirmək mümkündür. Bunun səbəbi odur ki, uzun Unix üslublu sətir düzgün prefiksə malik olduqda, lakin sonrakı ölçü və tarix sahələrini təmin edə bilmədikdə, src/parseListUnix.ts faylındakı RE_LINE ifadəsi bitişik dəyişkən uzunluqlu sahib və qrup sahələri üzrə geri qayıdır (backtracking). parseList() funksiyası sonuncu boş olmayan sətirdən bir analizator seçir və sonra onu hər bir sətirə tətbiq edir, buna görə də normal yekun sətir Unix analizatorunu seçə bildiyi halda, daha əvvəlki xüsusi hazırlanmış sətir Node.js hadisə dövrünü (event loop) bloklayır və prosesi dondurur. Bu problem 6.2.1 versiyasında aradan qaldırılıb.