CVE-2026-104182

stream-json, JSON ve JSONC'yi minimum bellek kullanımıyla işlemek için akış bileşenlerinden oluşan bir mikro kütüphanedir. 3.6.0 sürümünden önce, stream-json/jsonc/parser.js konumundaki JSONC ayrıştırıcısı ve stream-json/jsonc/verifier.js konumundaki doğrulayıcı, bir blok veya satır yorumu bir giriş parçasını (chunk) kapsadığında, birikmiş yorum tamponunu korurken yorum sonlandırıcı taramasını açılış eğik çizgisinden yeniden başlatmaktadır. Bu nedenle, büyük ve geçerli bir yorumun birçok küçük parça halinde iletilmesi, kuadratik CPU yüküne neden olur ve Node.js olay döngüsünü durdurabilir. Belgelenmiş JSONC girdisi açık internete yönelik bir girdi olmaktan ziyade yerel olarak sahip olunan veya kullanıcı kontrollü bir yapılandırma olduğundan, bakımcı saldırı vektörünü yerel olarak tanımlamaktadır. Yalnızca JSONC'yi kapsayan bu durum, tüketilen dize ve sayı verilerini ilerletip atan düz JSON ayrıştırıcısını içermez. Bu sorun 3.6.0 sürümünde düzeltilmiştir.