toml-node: Denial of Service durch quadratische Komplexität in toml.parse()

Zusammenfassung

toml-node, ein TOML-Parser für Node.js und den Browser, enthält eine Schwachstelle mit quadratischer Komplexität in toml.parse(). Diese tritt bei der Verarbeitung langer punktierter Schlüssel, Tabellenkopfzeilen, Kopfzeilen für Tabellen-Arrays und Schlüssel von Inline-Tabellen auf. Ein Angreifer, der TOML-Eingaben an eine betroffene Anwendung liefern kann, kann den Event-Loop von Node.js während mehrerer Sekunden blockieren oder den Prozess durch Speichererschöpfung zum Absturz bringen. Die Option maxDepth begrenzt die Anzahl der Schlüsselsegmente nicht und verhindert das Problem daher nicht. Anwendungen mit öffentlich erreichbarem TOML-Parsing-Endpunkt sind gefährdet; Vertraulichkeit und Integrität sind nicht betroffen.

Betroffen

• toml-node (npm-Paket toml) in Versionen vor 5.0.1 gemäss den Daten der CNA
• Mend nennt nur 5.0.0 bis 5.0.1; dieser Bereich ist wahrscheinlich unvollständig, daher sind alle Versionen vor 5.0.1 als betroffen zu behandeln

Behoben in

• Version 5.0.1 oder neuer

Umgehung

• Kein Workaround des Herstellers. Die Option maxDepth verhindert das Problem nicht.
• Übergangsmassnahmen bis zum Update (nicht vom Hersteller): Grösse der TOML-Eingaben vor dem Parsen begrenzen und nicht vertrauenswürdiges TOML in einem Worker-Thread oder separaten Prozess mit Timeout parsen

Ausnutzung

• In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• CISA SSVC: Ausnutzung 'poc', automatisierbar 'ja', technische Auswirkung 'partiell'.
• Es wurde kein separater öffentlicher Exploit gefunden. Das Advisory beschreibt den Auslöser nur allgemein.

Unsere Empfehlung

• Führen Sie 'npm ls toml' aus und suchen Sie nach toml-node in allen Node.js-Projekten, einschliesslich transitiver Abhängigkeiten.
• Aktualisieren Sie auf Version 5.0.1 oder neuer, zuerst Dienste, die vom Benutzer gelieferte TOML-Dateien parsen.
• Begrenzen Sie bis zur Aktualisierung die Grösse der TOML-Eingaben und lagern Sie das Parsing aus dem Haupt-Event-Loop aus.
• Überwachen Sie betroffene Dienste auf langsame Antworten und Prozessabstürze.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9j65-hcg3-gc64 github.com
• Fix commit 609c873 github.com
• Release v5.0.1 github.com
• OSV: CVE-2026-114143 osv.dev
• GitLab Advisory Database: CVE-2026-114143 advisories.gitlab.com
• Tenable: CVE-2026-114143 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:57.