🇰🇷 한글 설명
toml-node 5.0.1 미만 버전에서 긴 점 표기 키(dotted keys)를 처리할 때 경로 접두사를 반복적으로 슬라이싱하고 재결합하는 과정에서 이차 시간 복잡도 문제가 발생합니다. 이로 인해 Node.js 이벤트 루프가 수 초간 차단되거나, 매우 긴 경로의 경우 메모리 고갈로 인해 프로세스가 종료될 수 있습니다.
💡 쉬운 설명
매우 긴 이름의 설정 데이터를 입력하면 컴퓨터가 이를 처리하느라 멈추거나 메모리가 부족해져 프로그램이 꺼질 수 있는 문제입니다. 악의적으로 조작된 긴 텍스트를 보내 시스템을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
toml-node is a TOML parser for Node.js and the browser. Prior to 5.0.1, toml.parse() repeatedly slices and rejoins every path prefix in lib/compiler.js while processing long dotted keys, table headers, array-of-tables headers, and inline-table keys in assign(), deepRef(), and setNestedKey(). The resulting quadratic work can block the Node.js event loop for several seconds, and sufficiently long paths can terminate the process through memory exhaustion. The maxDepth option does not limit key-segment count and therefore does not mitigate this path. This issue is fixed in version 5.0.1.
📍 영향받는 시스템
toml-node version < 5.0.1
⚔️ 공격 벡터
조작된 긴 점 표기 키(dotted keys)가 포함된 TOML 데이터를 입력하여 서비스 거부(DoS) 유발
🛡️ 대응 방법
toml-node를 5.0.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 5.0.1 미만인지 확인하여 취약 여부를 판단합니다.