CVE-2026-104844
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Parser selektora PostCSS to parser selektora CSS, który integruje się z PostCSS, ale go nie wymaga. W wersji wcześniejszej niż 7.1.6 funkcja src/parser.js splitWord() może otrzymać płaski selektor jako jeden token słowa przenoszący wiele indeksów klas lub identyfikatorów, ponieważ kropka i znaki mieszające nie są tokenizującymi ogranicznikami słów. Deduplikacja uniqs() oraz sprawdzanie przynależności do klas i identyfikatorów według indeksu wielokrotnie skanują tablice indeksów klas i identyfikatorów, podczas gdy oddzielny przebieg filtrowania z interpolacją Sassa wykonuje również wielokrotne skanowanie liniowe. Razem te przebiegi sprawiają, że analiza jest kwadratowa pod względem liczby indeksów i pozwala spreparowanemu selektorowi zająć synchroniczny wątek analizatora składni. Osłona maxNestingDepth nie łagodzi problemu, ponieważ wrogi selektor może mieć zerową głębokość zagnieżdżenia. Ma to wpływ tylko na konsumentów, którzy synchronicznie analizują niezaufane selektory w ujawnionej ścieżce żądania. nie ma to wpływu na zwykłe analizowanie zaufanych źródeł w czasie kompilacji. Ten problem został rozwiązany w wersji 7.1.6.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org