CVE-2026-33532

`yaml`, JavaScript üçün YAML analizatoru və seriyallaşdırıcısıdır. 1.x budağının 1.10.3 versiyasından əvvəlki və ya 2.x budağının 2.8.3 versiyasından əvvəlki `yaml` versiyaları ilə YAML sənədinin analizi stek daşması səbəbindən RangeError xətasına səbəb ola bilər. Düyünlərin həlli/kompozisiya mərhələsi dərinlik limiti olmadan rekursiv funksiya çağırışlarından istifadə edir. Analiz üçün YAML təmin edə bilən hücumçu kiçik bir fayl (~2–10 KB) vasitəsilə `RangeError: Maximum call stack size exceeded` xətasını tetikləyə bilər. `RangeError` bir `YAMLParseError` olmadığı üçün yalnız YAML-a xas xətaları tutan tətbiqlər gözlənilməz istisna növü ilə qarşılaşacaqlar. Host tətbiqin istisnaların idarə edilməsindən asılı olaraq, bu, sorğuların uğursuz olmasına və ya Node.js prosesinin dayanmasına səbəb ola bilər. Axın ardıcıllıqları minimum baytlarla (hər səviyyə üçün 2 bayt: bir `[` və bir `]`) dərin yuvalanmaya imkan verir. Standart Node.js stekində təxminən 1,000–5,000 səviyyəli yuvalanma (2–10 KB giriş) çağırış stekini doldurur. Dəqiq hədd mühitdən (Node.js versiyası, stek ölçüsü, çağırış zamanı stek dərinliyi) asılıdır. Qeyd: kitabxananın `Parser`-i (CST mərhələsi) stek əsaslı iterativ yanaşmadan istifadə edir və bundan təsirlənmir. Yalnız kompozisiya/həll mərhələsi real çağırış steki rekursiyasından istifadə edir. Bütün üç ictimai analiz API-sı təsirlənmişdir: `YAML.parse()`, `YAML.parseDocument()` və `YAML.parseAllDocuments()`. 1.10.3 və 2.8.3 versiyaları düzəlişi ehtiva edir.