GitHub 安全公告库 (GHSA)·2026-10-23 00:36· 10 小时前精选AI 评分58

toml-node 的 toml.parse() 因超长整数字面量存在 CPU DoS 漏洞

toml-node: Uncontrolled resource consumption (CPU DoS) via unbounded-length integer literals in toml.parse()

AI 导读

GitHub 安全公告披露 toml-node 的 toml.parse() 在处理十六进制、八进制、二进制和十进制整数字面量时，未先限制数字串长度就直接调用 BigInt()，导致超线性耗时。

为什么值得看

公告给出了可复现的 PoC 与实测耗时表，说明单个超长整数字面量即可阻塞 Node.js 事件循环。