open-flaw/cve-2026-21717Proof-of-concept per CVE-2026-21717, una vulnerabilità di collisione nell'hashing delle stringhe V8 di Node.js che causa denial of service tramite payload JSON appositamente predisposti.
Vulnerabilità di Collisione Prevedibile dell'Hash delle Stringhe in Node.js V8 che Porta a Denial of Service
Una vulnerabilità critica nel meccanismo di hashing delle stringhe di V8 consente agli attaccanti di causare un grave degrado delle prestazioni nelle applicazioni Node.js. Le stringhe simili a interi vengono sottoposte a hash sul loro valore numerico, rendendo le collisioni di hash banalmente prevedibili. Creando un input malevolo che causa molte collisioni nella tabella delle stringhe interna di V8, un attaccante può degradare significativamente le prestazioni o causare un denial of service.
La vulnerabilità deriva dal processo di internalizzazione delle stringhe di V8. Quando avviene il parsing JSON, le stringhe corte vengono automaticamente internalizzate in una tabella hash. Le stringhe simili a interi collidono in modo prevedibile perché vengono sottoposte a hash sui loro valori numerici, consentendo agli attaccanti di forzare catene di probing quadratiche che degradano gravemente le prestazioni.
Il trigger più comune è qualsiasi endpoint che chiama JSON.parse() su input controllato dall'attaccante, poiché il parsing JSON internalizza automaticamente le stringhe corte nella tabella hash interessata.
Questo repository contiene una proof-of-concept che dimostra la vulnerabilità:
# Usare una versione di Node.js interessata da CVE-2026-21717
nvm use
npm install
node poc.js
Il PoC crea un payload con:
JSON.parse()JSON.parse() sull'input non fidato// Limitare la dimensione del payload
app.use(express.json({ limit: '100kb' }));
// Aggiungere timeout per il parsing
const parseWithTimeout = (str, timeout = 1000) => {
return Promise.race([
Promise.resolve(JSON.parse(str)),
new Promise((_, reject) =>
setTimeout(() => reject(new Error('Parse timeout')), timeout)
)
]);
};
Questo repository è solo a scopo educativo e di ricerca. Non utilizzare questo codice per scopi malevoli o contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione a testare.