GHSA 披露 ip-address 正则二次方耗时缺陷

GitHub 安全公告库（GHSA）披露 ip-address 库的 Address6 存在二次时间复杂度问题：`new Address6()` 和 `Address6.isValid()` 在应用 45 字符长度限制前，先用 `/%.*$/` 剥离 zone 标识符，当字符串含大量 `%` 后接行终止符时，正则从每个 `%` 重试，拒绝耗时随长度平方增长。GHSA 称，应用若用这些方法校验攻击者提供的字符串，单个长请求即可阻塞进程。 受影响入口包括 `new Address6()`、`isValid()`、`fromAddressAndMask()` 与 `fromAddressAndWildcardMask()` 的两个参数，以及 `fromAddress4Nat64()` 和 `toAddress4Nat64()` 的前缀参数；`Address4` 无 zone，不受影响。

AI 根据报道生成 · 4 小时前更新