p PatchFirst

CVE-2026-67214

CVE-2026-67214 · nanoid Infinite Loop via Negative Size in non-secure module

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

nanoid (Nano ID) before 3.3.16 and 5.1.16 contains an infinite loop in the customAlphabet and nanoid functions of its non-secure module (nanoid/non-secure). When these functions are given a negative size, the loop counter is decremented from a negative value and never reaches its termination condition, spinning indefinitely and hanging the calling thread. An application that passes an unvalidated, attacker-controlled negative size to these functions is exposed to a denial-of-service condition.

CVSS 8.2 · Высокий · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • nanoid

    Версии
    • ≥ 4.0.0, < 5.1.16: Затронуто (semver)
    • 5.1.16: Не затронуто (semver)
    • ≥ 0, < 3.3.16: Затронуто (semver)
    • 3.3.16: Не затронуто (semver)

    Обновитесь до 3.3.16; Обновитесь до 5.1.16

  • node-mocha Debian:12

    Затронутые диапазоны версий
    • ECOSYSTEM: < 9.1.4+ds1+~cs28.2.8-1

    Обновитесь до 9.1.4+ds1+~cs28.2.8-1

  • node-mocha Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 9.1.4+ds1+~cs28.2.8-1

    Обновитесь до 9.1.4+ds1+~cs28.2.8-1

  • node-mocha Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 9.1.4+ds1+~cs28.2.8-1

    Обновитесь до 9.1.4+ds1+~cs28.2.8-1

  • node-postcss Debian:12

    Версии
    • 8.4.20+~cs8.0.23-1
    • 8.4.20+~cs8.0.23-1+deb12u1
    • 8.4.31+~cs8.0.26-1
    • 8.4.39+~cs9.2.29-1
    • 8.4.49+~cs9.2.32-1
    • 8.5.12+~cs9.3.32-1
    • 8.5.14+~cs9.3.34-1
    • 8.5.15+~cs9.3.34-1
    • 8.5.15+~cs9.3.38-1
    • 8.5.15+~cs9.3.39-1
    • 8.5.19+~cs10.2.23-1
    • 8.5.21+~cs10.2.23-1
    • 8.5.23+~cs10.2.23-1
    • 8.5.25+~cs10.2.23-1
    • 8.5.26+~cs10.2.24-1
    • 8.5.28+~cs10.2.24-1
    • 8.5.31+~cs10.2.26-1
    • 8.5.6+~cs9.3.28-1
    • 8.5.8+~cs9.3.30-1
    • 8.5.9+~cs9.3.30-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-postcss Debian:13

    Версии
    • 8.4.49+~cs9.2.32-1
    • 8.5.12+~cs9.3.32-1
    • 8.5.14+~cs9.3.34-1
    • 8.5.15+~cs9.3.34-1
    • 8.5.15+~cs9.3.38-1
    • 8.5.15+~cs9.3.39-1
    • 8.5.19+~cs10.2.23-1
    • 8.5.21+~cs10.2.23-1
    • 8.5.23+~cs10.2.23-1
    • 8.5.25+~cs10.2.23-1
    • 8.5.26+~cs10.2.24-1
    • 8.5.28+~cs10.2.24-1
    • 8.5.31+~cs10.2.26-1
    • 8.5.6+~cs9.3.28-1
    • 8.5.8+~cs9.3.30-1
    • 8.5.9+~cs9.3.30-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-postcss Debian:14

    Версии
    • 8.4.49+~cs9.2.32-1
    • 8.5.12+~cs9.3.32-1
    • 8.5.14+~cs9.3.34-1
    • 8.5.15+~cs9.3.34-1
    • 8.5.15+~cs9.3.38-1
    • 8.5.6+~cs9.3.28-1
    • 8.5.8+~cs9.3.30-1
    • 8.5.9+~cs9.3.30-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 8.5.15+~cs9.3.39-1

    Обновитесь до 8.5.15+~cs9.3.39-1

  • nanoid npm

    Затронутые диапазоны версий
    • SEMVER: < 3.3.16

    Обновитесь до 3.3.16

  • nanoid npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 5.1.16

    Обновитесь до 5.1.16

  • node-postcss Ubuntu:20.04:LTS

    Версии
    • 6.0.23-1
    • 6.0.23-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-postcss Ubuntu:22.04:LTS

    Версии
    • 8.2.1+~cs5.3.23-8
    • 8.4.5+~cs7.1.51-2
    • 8.4.6+~cs7.3.21-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-postcss Ubuntu:24.04:LTS

    Версии
    • 8.4.20+~cs8.0.23-1
    • 8.4.31+~cs8.0.26-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-postcss Ubuntu:26.04:LTS

    Версии
    • 8.5.6+~cs9.3.28-1
    • 8.5.8+~cs9.3.30-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →