CVE-2026-40345

deepmerge-ts JavaScript obyektlərinin dərin birləşdirilməsi funksionallığını təmin edən TypeScript kitabxanasıdır. 8.0.0 versiyasından əvvəl deepmerge, deepmergeCustom, deepmergeInto və deepmergeIntoCustom API-ləri qeydləri rekursiv şəkildə birləşdirərkən ziyarət edilmiş obyektləri və ya obyekt cütlərini izləmir. İki giriş dəyəri eyni xüsusiyyət yolunda özünə istinadlar (self-references) etdikdə, birləşdirmə məntiqi Node.js "RangeError: Maximum call stack size exceeded" xətasını verənə qədər eyni cütü təkrar-təkrar ziyarət edir. Hücumçu tərəfindən idarə olunan rekursiv obyekt qrafiklərini birləşdirən tətbiqlərdə təsirlənmiş proses sinxron şəkildə çökə bilər və ya işçilərin (worker) təkrar-təkrar yenidən başladılmasına səbəb ola bilər. Yalnız sadə JSON girişi bu problemi tetikləmək üçün tələb olunan rekursiv qrafiki yarada bilməz. Bu problem 8.0.0 versiyasında düzəldilmişdir.