حزمة flat حتى الإصدار 6.0.1 مصابة بحجب الخدمة عبر مفاتيح مصفوفة رقمية في unflatten()

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي حزمة flat حتى الإصدار 6.0.1 على ثغرة تخصيص موارد غير متحكم بها في الدالة unflatten() والتي تسمح للمهاجمين بإنشاء مصفوفات متفرقة ضخمة عبر مفاتيح رقمية غير محدودة. يمكن للمهاجمين توفير مفاتيح مسطحة مثل a.4294967294، مما يتسبب في حظر حلقة الأحداث لـ Node.js عند التكرار باستخدام forEach أو spread أو JSON.stringify.

المعالجة

1. أحصِ جميع نشرات hughsk flat، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://www.vulncheck.com/advisories/flat-through-6.0.1-denial-of-service-via-unflatten-numeric-array-index-keys
• مرجعhttps://github.com/hughsk/flat/issues/195
• مرجعhttps://github.com/hughsk/flat
• مرجعhttps://github.com/hughsk/flat/blob/1d68e1d06c0210cff31e5c61ac177f3e2d3fa564/index.js#L65-L75
• مرجعhttps://github.com/hughsk/flat/blob/1d68e1d06c0210cff31e5c61ac177f3e2d3fa564/index.js#L137-L142