toml-node 整数解析曝 CPU DoS 漏洞

GitHub 安全公告披露，toml-node 的 toml.parse() 在把十六进制、八进制、二进制和十进制整数字面量转换为 BigInt 前，未限制数字串长度，导致超线性耗时。公告称，无需认证或复杂构造，单个约 5 MB 请求即可造成数秒的 CPU 完全拒绝服务。 受影响的是对不可信或第三方输入调用 toml.parse() 的应用，包括配置上传端点、处理用户 .toml 文件的 CI/CD 工具、包管理器、linter 以及编辑器/语言服务器。上述影响范围与请求规模均出自该公告。

AI 根据报道生成 · 3 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。