GitHub 安全公告库 (GHSA)·· 3 小时前精选AI 评分58
stream-json 的 FlexAssembler 字符串/RegExp 路径过滤存在 O(depth^2) CPU 拒绝服务问题
stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service
AI 导读
GitHub 安全公告 GHSA-jj87-hc4r-jwfw 指出，npm 包 stream-json 的 FlexAssembler 在规则 filter 为字符串或 RegExp 时，每次容器开始都会对完整 keyStack 执行 join，嵌套深度 D 的文档产生 O(D^2) CPU 开销，约 96 KB（深度 16000）的输入可阻塞事件循环超过 1 秒。
为什么值得看
通告说明 stream-json 的 FlexAssembler 在字符串或 RegExp 过滤规则下存在平方级 CPU 消耗，并给出 maxDepth 默认 1024 的修复。
来源：GitHub 安全公告库 (GHSA) · github.com