CVE-2026-102414

pbkdf2 3.1.6 sürümüne kadar olan versiyonlarda, JavaScript fallback mekanizmasında (lib/sync.js), özetin blok boyutundan daha uzun olan parolalar her yinelemede yeniden özetlenmektedir. Blok boyutundan (64 bayt veya sha384 ve sha512 için 128 bayt) daha uzun bir parola, her yinelemede anahtar olarak HMAC'ye aktarılır ve HMAC bu tür anahtarları her seferinde tamamen özetler. Bu nedenle maliyet O(yinelemeler × parola uzunluğu) şeklindedir ve uzun bir parola olay döngüsünü (event loop) engelleyebilir. Fallback mekanizması; yerel pbkdf2Sync fonksiyonları kütüphanenin özellik kontrolünde başarısız olduğu için 0.12 öncesi Node.js sürümlerinde, Bun (1.0.0 ile 1.1.34 arası, ayrıca 1.2.6 ve sonrası) ve Deno 2.9.0 ve sonrası sürümlerde pbkdf2Sync ve pbkdf2 tarafından kullanılmaktadır. Ayrıca lib/sync.js doğrudan içe aktarıldığında da kullanılır. Node.js 0.12 ve sonrası sürümleri ile tarayıcı yapılandırmaları (lib/sync-browser.js kullananlar) etkilenmemektedir. Makul bir maksimum parola uzunluğu zorunluluğu uygulayan uygulamalar anlamlı düzeyde etkilenmez.