CVE-2026-104150

AdonisJS HTTP Server, AdonisJS freymvorkunda HTTP sorğularını idarə etmək üçün nəzərdə tutulmuş paketdir. 8.2.2 və 9.1.1 versiyalarından əvvəl, router.matchers.slug() tərəfindən qaytarılan müntəzam ifadə (regular expression), üst-üstə düşən simvol siniflərinə malik bitişik tamahkar təkrarlar ehtiva edir. Tətbiq bu matcheri hücumçunun idarə etdiyi marşrut parametrində tətbiq etdikdə, son təsdiqləmə tərəfindən rədd edilən simvolla bitən uzun slug kvadratik geri qayıtmaya (quadratic backtracking) və həddindən artıq CPU istifadəsinə səbəb olur. Marşrut uyğunlaşdırılması marşrut və qrup middleware-lərindən əvvəl baş verdiyi üçün, marşruta əlavə edilmiş autentifikasiya və ya sürət məhdudiyyəti (rate-limiting) middleware-ləri autentifikasiya olunmamış sorğunun Node.js hadisə döngüsünü (event loop) bloklamasına və işçinin (worker) əlaqəsiz sorğuları və ya sağlamlıq yoxlamalarını (health checks) yerinə yetirməsinin dayanmasına mane ola bilməyəcək. Bu problem 8.2.2 və 9.1.1 versiyalarında düzəldilmişdir.