CVE-2026-114144 Denegación de servicio por consumo de CPU en toml.parse() de toml-node

Qué es CVE-2026-114144

En toml-node anterior a 5.0.1, toml.parse() pasa secuencias de dígitos hexadecimales, octales, binarios y decimales sin límite de longitud de lib/parser.js a BigInt() antes de que reduceInteger() en lib/compiler.js verifique si el valor entra en el rango de enteros de 64 bits de TOML. Convertir una cadena de enteros suficientemente larga consume tiempo de CPU superlineal y bloquea de forma síncrona el event loop de Node.js, permitiendo que un documento TOML provisto por un atacante deniegue el servicio a trabajo…

Productos y versiones afectadas

• BinaryMuse toml-node

  • < 5.0.1

Qué hacer

1. Verificá si usás toml-node y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

toml-node is a TOML parser for Node.js and the browser. Prior to 5.0.1, toml.parse() passes unbounded hexadecimal, octal, binary, and decimal digit sequences from lib/parser.js to BigInt() before reduceInteger() in lib/compiler.js checks whether the resulting value fits the TOML 64-bit integer range. Converting a sufficiently long integer string consumes super-linear CPU time and synchronously blocks the Node.js event loop, allowing one attacker-supplied TOML document to deny service to concurrent work in the process. The later range check cannot prevent the conversion cost because it executes after BigInt(). This issue is fixed in version 5.0.1.

Referencias

• github.com/BinaryMuse/toml-node/security/advisories/GHSA-9qmh-m7c6-f92pX_REFSOURCE_CONFIRM
• github.com/BinaryMuse/toml-node/commit/9d52e384f6030932174d1afb0d910154dd62deadX_REFSOURCE_MISC
• github.com/BinaryMuse/toml-node/releases/tag/v5.0.1X_REFSOURCE_MISC

Historial de la alerta

1. 21 OCT · 18:57VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.