CVE-2026-56017

Perl üçün JavaScript::Minifier::XS versiya 0.16-dan əvvəlki versiyalarda girişin ilk mənalı tokeni slash (/) olduqda NULL göstəricisinin istifadəsi (NULL pointer dereference) səbəbindən proqram çökməsi baş verir. JsTokenizeString (XS.xs) funksiyasındakı reqular ifadə və bölmə əməliyyatını fərqləndirən mexanizm, reqular ifadə literalı ilə bölmə operatoru arasında seçim etmək üçün əvvəlki tokenin son baytını yoxlayır. Slash birinci mənalı token olduqda (girişin başında və ya ondan əvvəl yalnız boşluqlar və şərhlər olduqda), keçərli əvvəlki token mövcud olmur: boşluq və şərh düyünləri üzrə geri qayıdış düyün siyahısının başından kənara çıxaraq NULL-a çatır və bayt axtarışı azalmış uzunluq indeksində NULL məzmun göstəricisini oxuyur. Növbəti identifikator yoxlaması eyni NULL göstəricisindən istifadə edir. Çökmə ictimai minify() API vasitəsilə törədilir, buna görə də tək bir slash baytı kimi kiçik giriş belə çağıran prosesi çökdürür. Etibarsız və ya üçüncü tərəf JavaScript kodlarını minimizə edən xidmət uzaqdan göndərilən sorğu ilə çökdürülə bilər ki, bu da xidmətdən imtinaya (DoS) səbəb olur.