CVE-2026-71429

stream-json, minimum bellek kullanımı ile JSON ve JSONC işlemek için tasarlanmış bir mikro akış bileşenleri kütüphanesidir. 3.5.0 sürümünden önce, src/core/filters/filter-base.js dosyasındaki pick, ignore, filter ve replace yol filtreleri, kontrol edilebilir her belirteç (token) için tam yol dizesini iç içe geçme yığınından yeniden hesaplamaktadır. Yığın uzunluğu mevcut iç içe geçme derinliğine eşit olduğundan ve her seviyede kontrol edilebilir bir belirteç yayınlandığından, D derinliğindeki bir dokümanın işlenmesi O(D) yerine O(D²) maliyetine neden olmaktadır. Bu sorun, belgelenmiş pick({filter: 'data'}) eşleşene kadar izleme yolu da dahil olmak üzere, bayt hacminden ziyade iç içe geçme derinliği tarafından tetiklenmektedir; bu nedenle güvenilmeyen JSON verilerini bir dize veya RegExp filtresinden geçiren bir uygulama, küçük ancak derinlemesine iç içe geçmiş bir dokümanla Node.js olay döngüsünü engelleyebilir ve hizmet reddine (denial of service) neden olabilir. streamArray, streamObject ve streamValues akışları, sabit zamanlı asm.depth getiricisini kullandıkları için etkilenmemektedir. Bu sorun 3.5.0 sürümünde düzeltilmiştir.