CVE-2026-40345
deepmerge-ts : Épuisement de la pile lors de la fusion de graphes d'objets récursifs
- Publié
- 20 août 2026
- Mise à jour
- 20 août 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 28 août 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 39,5 %
- Date du modèle
- 21 sept. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
deepmerge-ts est une bibliothèque TypeScript offrant des fonctionnalités de fusion profonde d'objets JavaScript. Avant la version 8.0.0, les API `deepmerge`, `deepmergeCustom`, `deepmergeInto` et `deepmergeIntoCustom` ne suivent pas les objets visités ni les paires d'objets lors de la fusion récursive d'enregistrements. Lorsque deux valeurs d'entrée contiennent des auto-références au même chemin de propriété, la logique de fusion revisite sans cesse la même paire jusqu'à ce que Node.js lève une `RangeError: Maximum call stack size exceeded`. Les applications qui fusionnent des graphes d'objets récursifs contrôlés par un attaquant peuvent faire planter de manière synchrone le processus concerné ou provoquer des redémarrages répétés des workers. Une entrée JSON simple ne peut pas à elle seule créer le graphe récursif nécessaire pour déclencher le problème. Ce problème est corrigé dans la version 8.0.0.
Sources
1Reproduit un déni de service par épuisement de la pile dans deepmerge-ts avant la version 8.0.0, documente l'exploitation et inclut un scanneur de plages de dépendances vulnérables.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.