CVE-2026-114129— stream-json FlexAssembler 拒绝服务漏洞
一分钟漏洞结论
影响对象
uhop stream-json
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
stream-json 是一个用于处理 JSON 和 JSONC 的微型流组件库，旨在实现极低的内存占用。在 2.0.0 至 3.7.0 版本中，FlexAssembler 将字符串和正则表达式路径过滤器编译为匹配器，这些匹配器会在每个容器（对象或数组）启动时，对整个键栈（key stack）执行连接（join）操作。由于键栈的长度会随着对象或数组的嵌套深度无限制地增长，一个嵌套深度为 D 的文档将触发 D 次连接操作，而每次连接的成本又随当前深度线性增加，从而导致在单线程事件循环中产生二次方（O(n²)）的 CP
可能的 ATT&CK 技术 1 AI
T1499.003 · Application Exhaustion Flood影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| uhop | stream-json | >= 2.0.0, < 3.7.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-114129 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service
来源: CVE Program / CVE List V5
Vulnerability Description
stream-json is a micro-library of stream components for processing JSON and JSONC with a minimal memory footprint. From 2.0.0 until 3.7.0, FlexAssembler compiles string and regular-expression path filters into matchers that join the full key stack on every container start. Because the key stack grows with unbounded object or array nesting, a document nested to depth D causes D joins whose cost grows with the current depth, resulting in quadratic CPU consumption on the single-threaded event loop. The join occurs before the rule match decision, so the attacker does not need to know the target schema. Consumers using only function filters or no rules are not affected. A crafted nested document can stall all concurrent work in a process that feeds it to an affected FlexAssembler. This issue is fixed in 3.7.0, which adds a default maximum depth.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
算法复杂性
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| uhop | stream-json | >= 2.0.0, < 3.7.0 | - |
|
二、漏洞 CVE-2026-114129 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-114129 的情报信息
请登录查看更多情报信息。
CVE-2026-114129 其他参考 (4)
-
https://github.com/uhop/stream-json/releases/tag/3.7.0 x_refsource_MISC
-
https://github.com/uhop/stream-json/security/advisories/GHSA-jj87-hc4r-jwfw x_refsource_CONFIRM
IV. Related Vulnerabilities
V. Comments for CVE-2026-114129
暂无评论