toml-node: Denial of Service durch quadratischen Aufwand bei Array-of-Tables-Headern
Zusammenfassung
Die Bibliothek toml-node (npm-Paket toml) vor 5.0.1 wird bei toml.parse() sehr langsam, wenn ein Dokument viele verschiedene [[name]]-Array-of-Tables-Header enthält. Der Parser durchsucht bei jedem Header seine Verwaltungsmengen erneut, wodurch der Aufwand quadratisch wächst und der Event Loop von Node.js blockiert wird. Ein Angreifer, der einer Anwendung TOML-Eingaben liefern kann, kann den Prozess ohne Authentifizierung verlangsamen und anderen Benutzern den Dienst verweigern. Eine Beeinträchtigung der Vertraulichkeit oder Integrität ist nicht dokumentiert.
Betroffen
- toml-node (npm-Paket toml) in Versionen vor 5.0.1
- Die Angaben von Hersteller und Drittanbietern zu den betroffenen Bereichen sind uneinheitlich; alle Versionen vor 5.0.1 gelten als betroffen.
- Transitive Abhängigkeiten in Node.js-Anwendungen und Tooling sind ebenfalls betroffen.
Behoben in
- Auf toml-node 5.0.1 oder neuer aktualisieren.
Umgehung
Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.
- Vorschlag (nicht aus einer Quelle): Die Grösse von TOML-Eingaben aus unbekannten Quellen begrenzen und solche Eingaben in einem Worker-Prozess oder mit einem Timeout verarbeiten.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; CISA SSVC führt die Ausnutzung als none.
- Kein öffentlicher Proof of Concept gefunden. Laut Advisory benötigt ein Dokument von etwa 321 KB mit 20'000 verschiedenen Array-of-Tables-Headern rund 10 Sekunden zum Parsen.
- EPSS-Wert: 0.00395.
Unsere Empfehlung
- Node.js-Projekte auf das Paket toml unterhalb von 5.0.1 prüfen, einschliesslich transitiver Abhängigkeiten.
- Auf 5.0.1 oder neuer aktualisieren und gleichzeitig die verwandten Korrekturen CVE-2026-114143 und CVE-2026-114144 einspielen.
- Dienste priorisieren, die TOML aus externen Quellen verarbeiten, etwa Uploads, API-Anfragekörper oder extern geladene Konfigurationen.
- Bis zur Korrektur die Grösse unbekannter TOML-Eingaben begrenzen und auf Event-Loop-Blockaden und hohe CPU-Auslastung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 609c873 github.com
- Release v5.0.1 github.com
- GitHub Security Advisory GHSA-4qx8-w7c3-pj3p github.com
- GitLab Advisory Database: CVE-2026-114141 advisories.gitlab.com
- OSV: CVE-2026-114141 osv.dev
- OSV: GHSA-4qx8-w7c3-pj3p osv.dev
- Vulners: CVE-2026-114141 EPSS vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.