CVE-2026-45617

LiquidJS təmiz JavaScript dilində yazılmış Shopify/GitHub Pages ilə uyğun şablon mühərrikidir. 10.25.7 və daha aşağı versiyalarda daxili strip_html filtri kvadratik geri qaytarma (quadratic backtracking) vasitəsilə ReDoS-a səbəb olan dörd qüsurlu tənbəl kəmiyyətli alternativlər ehtiva edən reqex istifadə edir. Giriş məlumatları uyğun bağlayıcıları olmayan çox sayda <script, <style və ya <!-- açılış tokenləri ehtiva etdikdə, V8 reqex mühərriki O(N²) geri qaytarmanı yerinə yetirərək Node.js hadisə dövrünü (event loop) bloklayır. Tək bir ~350 KB sorğu ('<script'.repeat(50000)) prosesi ~10 saniyə ərzində dayandırır; xərc giriş ölçüsü ilə kvadratik olaraq artır. Defolt memoryLimit: Infinity reqex CPU-nu məhdudlaşdırmır və konfiqurasiya edildikdə belə strip_html limiti yalnız str.length üçün hesablayır — reqex-in özü limitsiz işləyir. Hazırlanmış etibarsız giriş ehtiva edən tək bir autentifikasiyasız sorğu, memoryLimit mühafizələrini yan keçərək Node.js worker-lərini dolduran ciddi hadisə dövrü bloklanmasına və CPU gücləndirməsinə səbəb ola bilər. Bu problem 10.26.0 versiyasında düzəldilmişdir.