CVE-2026-33532

Résumé

`yaml` est un analyseur et sérialiseur YAML pour JavaScript. L'analyse d'un document YAML avec une version de `yaml` sur la branche 1.x antérieure à 1.10.3 ou sur la branche 2.x antérieure à 2.8.3 peut lever une `RangeError` en raison d'un débordement de pile. La phase de résolution/composition des nœuds utilise des appels de fonction récursifs sans limite de profondeur. Un attaquant capable de fournir du YAML à analyser peut déclencher une `RangeError: Maximum call stack size exceeded` avec une petite charge utile (~2–10 Ko). La `RangeError` n'est pas une `YAMLParseError`, donc les applications qui ne capturent que les erreurs spécifiques à YAML rencontreront un type d'exception inattendu. Selon la gestion des exceptions de l'application hôte, cela peut faire échouer des requêtes ou terminer le processus Node.js. Les séquences de flux permettent un imbrication profonde avec un minimum d'octets (2 octets par niveau : un `[` et un `]`). Sur la pile Node.js par défaut, environ 1 000 à 5 000 niveaux d'imbrication (entrée de 2 à 10 Ko) épuisent la pile d'appels. Le seuil exact dépend de l'environnement (version de Node.js, taille de la pile, profondeur de la pile d'appels au moment de l'invocation). Remarque : le `Parser` de la bibliothèque (phase CST) utilise une approche itérative basée sur une pile et n'est pas affecté. Seule la phase de composition/résolution utilise une récursivité réelle de la pile d'appels. Les trois API d'analyse publiques sont affectées : `YAML.parse()`, `YAML.parseDocument()` et `YAML.parseAllDocuments()`. Les versions 1.10.3 et 2.8.3 contiennent un correctif.

• astro_CVE-2026-33532PoC

  # Dépôt dédié à CVE-2026-33532, fournissant une analyse et une preuve de concept potentielle pour une vulnérabilité web.