Une complexité quadratique dans les filtres de chemin de `FlexAssembler` peut bloquer la boucle événementielle lorsqu’un document JSON profondément imbriqué est traité. Le problème concerne les configurations utilisant un filtre string ou RegExp ; les filtres fonctionnels et l’absence de règles ne sont pas concernés selon l’avis.
Source : GHSA-jj87-hc4r-jwfw — stream-json
Analyse technique
À chaque début de conteneur, le filtre string ou RegExp joint la pile complète des clés. Pour une profondeur D, ces opérations entraînent un coût CPU O(D²) et peuvent bloquer le processus Node.js.
Impact, versions et correctif
Détection / vérification
Vérifier si l’application utilise stream-json avec FlexAssembler et des filtres string ou RegExp ; examiner les versions installées.
Action recommandée
Mettre à niveau vers stream-json 3.7.0 ou ultérieur. Si la mise à niveau n’est pas possible, éviter les filtres string ou RegExp sur FlexAssembler et limiter la profondeur des entrées.
Sources
Priorisation DFS : P4 · 1 source(s).