CVE-2026-40345

deepmerge-ts, JavaScript nesnelerinin derinlemesine birleştirilmesi işlevselliğini sağlayan bir TypeScript kütüphanesidir. 8.0.0 sürümünden önce; deepmerge, deepmergeCustom, deepmergeInto ve deepmergeIntoCustom API'leri, kayıtları özyinelemeli olarak birleştirirken ziyaret edilen nesneleri veya nesne çiftlerini takip etmemektedir. İki giriş değeri aynı özellik yolunda kendi kendine referanslar içerdiğinde, birleştirme mantığı Node.js "RangeError: Maximum call stack size exceeded" hatası verene kadar aynı çifti tekrar tekrar ziyaret eder. Saldırgan tarafından kontrol edilen özyinelemeli nesne grafiklerini birleştiren uygulamalar, etkilenen işlemi senkron olarak çökertebilir veya tekrarlanan çalışan (worker) yeniden başlatmalarına neden olabilir. Sadece düz JSON girişi, sorunu tetiklemek için gereken özyinelemeli grafiği oluşturamaz. Bu sorun 8.0.0 sürümünde düzeltilmiştir.