`toml.parse()` convertit des entiers de longueur arbitraire en `BigInt` avant de vérifier leur plage, ce qui peut coûter beaucoup de CPU. Un littéral numérique très long dans une entrée TOML peut bloquer la boucle événementielle pendant plusieurs secondes.
Source : GHSA-9qmh-m7c6-f92p — toml-node
Analyse technique
Les conversions `BigInt()` des entiers hexadécimaux, octaux, binaires et décimaux sont effectuées sans borne préalable sur la longueur des chiffres. La vérification de plage 64 bits intervient après la conversion coûteuse.
Impact, versions et correctif
Détection / vérification
Vérifier la version de `toml` et si l’application analyse des documents TOML non fiables ou fournis par des tiers.
Action recommandée
Mettre à niveau vers toml 5.0.1 ou ultérieur. Dans l’intervalle, limiter la taille des entrées TOML non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).