CVE-2026-114144

toml-node, Node.js və brauzer üçün TOML analizatorudur. 5.0.1 versiyasından əvvəl, lib/compiler.js faylındakı reduceInteger() funksiyası nəticəyə uyğun dəyərin TOML 64-bit tam ədəd diapazonuna sığdığını yoxlamazdan əvvəl, toml.parse() funksiyası lib/parser.js-dən gələn məhdudiyyətsiz onaltılıq, səkkizlik, ikilik və onluq rəqəm ardıcıllıqlarını BigInt()-ə ötürür. Kifayət qədər uzun olan tam ədəd sətirinin çevrilməsi super-xətti CPU vaxtı tələb edir və Node.js hadisə dövrünü (event loop) sinxron şəkildə bloklayır ki, bu da hücumçu tərəfindən təqdim edilən bir TOML sənədinin prosesdəki digər paralel işləri dayandıraraq xidmətdən imtinaya (DoS) səbəb olmasına imkan verir. Sonrakı diapazon yoxlaması BigInt()-dən sonra icra olunduğu üçün çevrilmə xərclərinin qarşısını ala bilmir. Bu problem 5.0.1 versiyasında düzəldilmişdir.