CVE-2026-118772Hoch 7.5
joi: Denial of Service durch quadratisch laufende Aufteilung in der Option email multiple
Die Validierungsbibliothek joi für Node.js ist betroffen, wenn die Regel string().email({ multiple: true }) lange Folgen von Leerzeichen ohne Trennzeichen verarbeitet. Ein Angreifer, der einen präparierten Wert an ein solches Feld senden kann, kann mit einer einzigen Anfrage mehrere Sekunden CPU-Zeit verursachen und den Event Loop von Node.js blockieren, wodurch andere Arbeiten der Anwendung verzögert werden. Das Problem betrifft nur Stellen, an denen nicht vertrauenswürdige Eingaben mit der Option multiple validiert werden und keine wirksame Längenbegrenzung vorgeschaltet ist; eine Regel .max() allein genügt nicht, wenn abortEarly auf false gesetzt ist.
hapijs · joi