CVE-2026-114129

stream-json, JSON və JSONC sənədlərini minimum yaddaş istifadəsi ilə emal etmək üçün nəzərdə tutulmuş kiçik stream komponentləri kitabxanasıdır. 2.0.0 versiyasından 3.7.0 versiyasına qədər olan dövrdə FlexAssembler, sətir və requlyar ifadə yol filtrlərini hər konteyner başladığı zaman tam açar stekini birləşdirən matcher-lərə kompilyasiya edir. Açarlar steki məhdudiyyətsiz obyekt və ya massiv iç-içəliliyi ilə böyüdüyü üçün, D dərinliyindəki bir sənəd, xərci cari dərinliklə mütənasib olaraq artan D sayda birləşməyə səbəb olur və bu da təkaxınlı hadisə dövründə (event loop) kvadratik CPU istehlakı ilə nəticələnir. Birləşmə qayda uyğunluğu qərarından əvvəl baş verdiyi üçün hücum edənin hədəf sxemi haqqında məlumata ehtiyacı yoxdur. Yalnız funksiya filtrlərindən istifadə edən və ya heç bir qaydası olmayan istifadəçilər bundan təsirlənmir. Xüsusi hazırlanmış iç-içə sənəd, onu təsirlənmiş FlexAssembler-ə ötürən prosesdə bütün paralel işləri dayandıra bilər. Bu problem, standart maksimum dərinliyin əlavə edildiyi 3.7.0 versiyasında düzəldilmişdir.