figlet.js: Denial of Service durch Endlosschleife bei whitespaceBreak
Zusammenfassung
figlet.js ist eine JavaScript-Bibliothek zur Darstellung von FIGlet-Schriften, die in Node.js- und Browseranwendungen oft als indirekte npm-Abhängigkeit eingesetzt wird. Versionen vor 1.11.3 können in text() und textSync() in eine unbegrenzte Schleife geraten, wenn whitespaceBreak aktiviert ist und width kleiner als ein gerendertes Zeichen ist, was CPU-Last und wachsenden Speicherverbrauch verursacht. Voraussetzung sind die nicht standardmässige Option whitespaceBreak und ein vom Angreifer kontrollierter width-Wert, die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- figlet.js (npm-Paket figlet) Versionen vor 1.11.3
Behoben in
- Version 1.11.3 und neuer
Umgehung
- Keine nicht vertrauenswürdigen Eingaben als Option width übergeben.
- whitespaceBreak deaktiviert lassen (Standard).
- Auf Version 1.11.3 oder neuer aktualisieren.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
Unsere Empfehlung
- Alle figlet-Installationen in Node.js-Projekten von Kunden inklusive indirekter Abhängigkeiten ermitteln (z. B. mit npm ls figlet).
- Auf figlet 1.11.3 oder neuer aktualisieren.
- Den width-Wert dort validieren oder fixieren, wo er aus Benutzereingaben stammt, oder whitespaceBreak deaktivieren.
- Öffentlich erreichbare Dienste priorisieren; reine interne CLI-Nutzung ist mit geringerem Risiko verbunden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-62ch-8vmq-8xm7 github.com
- Fix commit cb2839d github.com
- Pull Request #169 github.com
- OSV GHSA-62ch-8vmq-8xm7 osv.dev
- OSV CVE-2026-96780 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.