CVE-2026-40345

概要

deepmerge-ts は、JavaScript オブジェクトのディープマージ機能を提供する TypeScript ライブラリです。8.0.0 より前のバージョンでは、deepmerge、deepmergeCustom、deepmergeInto、および deepmergeIntoCustom の各 API が、レコードを再帰的にマージする際に、訪問済みオブジェクトやオブジェクトのペアを追跡しません。2 つの入力値が同じプロパティパスに自己参照を含む場合、マージロジックは Node.js が `RangeError: Maximum call stack size exceeded` を発生させるまで、同じペアを繰り返し再訪します。攻撃者が制御する再帰的なオブジェクトグラフをマージするアプリケーションは、同期処理で影響を受けるプロセスをクラッシュさせたり、ワーカーの再起動を繰り返し発生させたりする可能性があります。プレーンな JSON 入力だけでは、この問題を引き起こすために必要な再帰的なグラフを作成することはできません。この問題はバージョン 8.0.0 で修正されています。

• CVE-2026-40345PoC

  deepmerge-ts 8.0.0 より前のスタック枯渇型サービス拒否（DoS）を再現し、悪用方法を文書化し、脆弱な依存関係のバージョン範囲をスキャンするスキャナを含みます。