CVE-2026-33532

`yaml`, JavaScript için bir YAML ayrıştırıcı ve serileştiricidir. 1.x dalının 1.10.3 öncesindeki veya 2.x dalının 2.8.3 öncesindeki bir `yaml` sürümü ile bir YAML belgesini ayrıştırmak, yığın taşması nedeniyle bir RangeError fırlatabilir. Düğüm çözümleme/birleştirme aşaması, derinlik sınırı olmaksızın özyinelemeli fonksiyon çağrıları kullanır. Ayrıştırma için YAML sağlayabilen bir saldırgan, küçük bir yükle (~2–10 KB), `RangeError: Maximum call stack size exceeded` hatasını tetikleyebilir. `RangeError` bir `YAMLParseError` değildir, bu nedenle yalnızca YAML'a özgü hataları yakalayan uygulamalar beklenmedik bir istisna türüyle karşılaşacaktır. Ana uygulamanın istisna yönetimine bağlı olarak, bu durum isteklerin başarısız olmasına veya Node.js işleminin sonlanmasına neden olabilir. Akış dizileri (flow sequences), minimum baytla (seviye başına 2 bayt: bir `[` ve bir `]`) derin iç içe geçmeye izin verir. Varsayılan Node.js yığınında, yaklaşık 1.000–5.000 seviyelik iç içe geçme (2–10 KB girdi) çağrı yığınını tüketir. Kesin eşik değere ortam bağımlıdır (Node.js sürümü, yığın boyutu, çağırma sırasındaki çağrı yığını derinliği). Not: kütüphanenin `Parser` bileşeni (CST aşaması) yığın tabanlı yinelemeli bir yaklaşım kullanır ve etkilenmez. Yalnızca birleştirme/çözümleme aşaması gerçek çağrı yığını özyinelemesi kullanır. Üç genel ayrıştırma API'si de etkilenmektedir: `YAML.parse()`, `YAML.parseDocument()` ve `YAML.parseAllDocuments()`. 1.10.3 ve 2.8.3 sürümleri bir yama içermektedir.