CVE-2021-29486

cumulative-distribution-function, x değerlerinden oluşan bir veri dizisinden istatistiksel kümülatif dağılım fonksiyonunu hesaplamak için kullanılan açık kaynaklı bir npm kitaplığıdır. 2.0.0 öncesindeki sürümlerde, bu kitaplığı uygun olmayan verilerle kullanan uygulamalar çökebilir veya sonsuz döngüye girebilir. Bu kitaplığı geçersiz sayısal olmayan veriler üzerinde işlem yapmak için kullanan bir nodejs sunucu uygulamasında, nodejs sunucusu çökebilir. Bu durum, sunucunun diğer kullanıcılarını etkileyebilir ve/veya düzgün çalışma için sunucunun yeniden başlatılmasını gerektirebilir. Bu kitaplığı geçersiz sayısal olmayan veriler üzerinde işlem yapmak için kullanan bir tarayıcı uygulamasında ise ilgili tarayıcı çökebilir veya donabilir. Giriş verilerinin cumulative-distribution-function değerlendirmesini yapan kodda, sonsuz döngüye izin veren bir hata keşfedilmiştir. Dokümantasyon sayısal veri gerektiğini açıklasa da bazı kullanıcılar, aslında dize verisi olan ["1","2","3","4","5"] gibi dize dizilerini, sayısal veri olan [1,2,3,4,5] ile karıştırabilir. Giriş verileri `number` tipi yerine dize verisi olduğunda, belirli bir nokta için cumulative-distribution-function değerlendirilirken sonsuz döngü oluşması mümkündür. Bu güvenlik açığı, saldırganın kitaplığa hatalı veri sağlayabilmesi durumunda, npm:cumulative-distribution-function v1.0.3 veya daha eski sürümlerini kullanan herhangi bir uygulama üzerinde sonsuz CPU döngüsü tabanlı bir hizmet reddi (DoS) saldırısına olanak tanır. Güvenlik açığı ayrıca, analiz edilecek bir veri kaynağının veri tipinin sayılar dizisinden (uygun), dizeler dizisine (geçersiz ancak kitaplığın önceki sürümleri tarafından tespit edilemeyen) dönüşmesi durumunda da ortaya çıkabilir. Kullanıcıların en az v2.0.0 sürümüne veya en güncel sürüme yükseltme yapmaları önerilir. Çeşitli geçersiz veri türleri için testler oluşturulmuş ve 2.0.0 sürümünün bu geçersiz verileri işlemek yerine `TypeError()` fırlatarak reddettiği test edilmiştir. Bu kitaplığı kullanan geliştiriciler, bu TypeError hatasını daha iyi tolere etmek veya yönetmek için uygulama kodlarında küçük düzenlemeler yapmak isteyebilirler. Verileri bu kitaplığa göndermeden önce uygun sayısal veri doğrulaması gerçekleştiren uygulamalar, bu yamadan büyük ölçüde etkilenmeyecektir. Eski sürümlerdeki bu güvenlik açığı, sırasıyla `cumulative-distribution-function` ve onun `f(x)` fonksiyonuna yalnızca `Array[number]` veya `number` tipinde sonlu sayısal verilerin gönderildiğinden emin olunarak hafifletilebilir.