CVE-2026-92599
Açıklama
joi (npm paketi `joi`, hapi.js) versiyonları >=17.2.0 <17.13.7 ve >=18.0.0 <18.2.6, `Joi.string().isoDate()` doğrulama kuralındaki düzenli ifade hizmet reddi (ReDoS) zafiyetine karşı savunmasızdır. Kuralın girdiye uyguladığı düzenli ifadelerden biri sabitlenmemiştir (unanchored), bu nedenle geçerli bir ISO tarihini takip eden uzun bir kesirli saniye rakam dizisi, regex motorunun aramayı dizedeki her konumdan yeniden başlatmasına neden olur ve girdi uzunluğunun karesiyle orantılı bir süreye yol açar (64 KB rakam için yaklaşık 1,4 saniye ve 256 KB için yaklaşık 22 saniye). Bir isoDate doğrulamasına dize sağlayabilen uzak bir saldırgan, tek bir istek ile uygulamayı durdurabilir. 17.13.7 ve 18.2.6 sürümlerinde düzeltilmiştir; geçici çözüm olarak, dize joi'ye ulaşmadan önce uzunluğu sınırlandırın.
Nasıl düzeltilir
- joi17.13.7, 18.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joinpm | 17.2.0 ≤ v < 17.13.7, 18.0.0 ≤ v < 18.2.6 | 17.13.7, 18.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.