CVE-2026-71429

stream-json, JSON və JSONC sənədlərini minimum yaddaş istifadəsi ilə emal etmək üçün nəzərdə tutulmuş kiçik bir axın komponentləri kitabxanasıdır. 3.5.0 versiyasından əvvəl, src/core/filters/filter-base.js faylındakı pick, ignore, filter və replace yol filtrləri hər bir yoxlanıla bilən token üçün tam yol sətrini yuvalama stekindən yenidən hesablayır. Stekin uzunluğu cari yuvalama dərinliyinə bərabər olduğu və hər səviyyədə yoxlanıla bilən token ötürüldüyü üçün, D dərinliyində olan sənədin emalı O(D) əvəzinə O(D²) vaxt tələb edir. Bu problem bayt həcmindən çox yuvalama dərinliyi ilə tetiklenir, bura sənədləşdirilmiş pick({filter: 'data'}) uyğunluq tapılana qədər keçid yolu da daxildir. Beləliklə, etibarsız JSON məlumatlarını sətir və ya RegExp filtri vasitəsilə göndərən tətbiq, kiçik lakin dərin yuvalanmış sənəd vasitəsilə Node.js hadisə dövrünü (event loop) bloklaya və xidmətdən imtinaya (DoS) səbəb ola bilər. streamArray, streamObject və streamValues axınları sabit zamanlı asm.depth getter-dən istifadə etdikləri üçün bu problemdən təsirlənmir. Problem 3.5.0 versiyasında düzəldilib.