CVE-2026-84375

js-yaml bir JavaScript YAML ayrıştırıcısı ve dökümcüsüdür. 3.0.0 ile 3.15.2 arası, 4.3.2 ve 5.4.1 sürümlerinde, lib/js-yaml/loader.js ve lib/loader.js dosyalarındaki maxTotalMergeKeys, merge anahtarı << işlenirken boş eşleme kaynaklarını saymamaktadır. Bir saldırgan, çok sayıda merge hedefine büyük bir boş eşlemeler dizisini takma ad olarak atayabilir; bu durum, totalMergeKeys değişmeden kalırken ve yapılandırılmış kaynak sınırına hiçbir zaman ulaşulmazken O(N * K) işlem süresine neden olur. Bu nedenle, güvenilmeyen YAML belgelerini ayrıştıran uygulamalarda nispeten küçük bir YAML belgesi uzun süreli CPU tüketimine yol açabilir ve bu sürüm hatlarında merge işlemi varsayılan olarak etkindir. v3 ve v4 sürümlerinde merge varsayılan olarak etkin olduğu için önem puanı daha yüksektir. Bu sorun 3.15.2, 4.3.2 ve 5.4.1 sürümlerinde düzeltilmiştir.