CWE-407

MOOS-IvP versions through 24.8.1 contain a quadratic processing vulnerability in uFldNodeComms where each new node identity creates a ledger entry and triggers all-pairs distribution work. Attackers can supply unbounded distinct node names in reports to drive the shoreside broker into quadratic processing, delaying or preventing distribution of legitimate node reports.

xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. Prior to @xmldom/xmldom versions 0.8.15 and 0.9.12, and in xmldom version 0.6.0 and earlier, DOMHandler.startElement in lib/dom-parser.js inserts every parsed attribute through setAttributeNode, while NamedNodeMap.setNamedItem in lib/dom.js calls the linear getNamedItem or getNamedItemNS lookup for each insertion. A well-formed element with many distinct attributes therefore requires quadratic comparisons during DOMParser.parseFromString() and can stall a Node.js event loop before application validation. This issue is fixed in @xmldom/xmldom versions 0.8.15 and 0.9.12; no fixed version is available for xmldom.

xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. Prior to @xmldom/xmldom versions 0.8.15 and 0.9.12, and in xmldom versions 0.3.0 through 0.6.0, two independent quadratic paths can cause denial of service. In lib/sax.js, parseElementStartPart repeatedly rescans a malformed tag name to the next > during single-character recovery; in lib/dom.js, normalize() repeatedly removes and appends adjacent text nodes, causing quadratic reindexing and string rebuilding. The first path is reachable through default DOMParser.parseFromString() processing, while the second is also reachable through a direct normalize() call on a programmatically constructed DOM, and endDocument invokes that normalization after parsing. This issue is fixed in @xmldom/xmldom versions 0.8.15 and 0.9.12; no fixed version is available for xmldom.

Inefficient Algorithmic Complexity vulnerability in Apache APISIX. A single small request can pin a gateway worker at 100% CPU for an extended period in graphql-limit-count routes. This issue affects Apache APISIX: 3.17.0. Users are recommended to upgrade to version 3.18.0, which fixes the issue.

nltk PorterStemmer in versions <= 3.10.2 (fixed in 3.10.3) contains an inefficient-algorithmic-complexity denial of service in PorterStemmer.stem(). The _is_consonant() helper walks backward over the entire run of trailing 'y' characters on every call, and _measure() invokes it for each stem position, causing O(n^2) behavior. A single ~20-50 KB untrusted token consisting of a long run of the letter 'y' followed by a matching suffix (e.g., 'ness') can pin a CPU core for seconds to minutes, causing availability impact.

Netty is an asynchronous, event-driven network application framework. Prior to 4.1.137.Final and 4.2.17.Final, the default io.netty.handler.ssl.SniHandler constructors use the pre-handshake ClientHello aggregation path in handler/src/main/java/io/netty/handler/ssl/SslClientHelloHandler.java at io.netty.handler.ssl.SslClientHelloHandler#decode, where handshakeBuffer.clear() and writeBytes() recopy all previously received body bytes for every additional TLS record. An unauthenticated remote peer can advertise a large ClientHello and deliver its body in thousands of tiny records, causing quadratic CPU work on the event loop before the TLS handshake completes and degrading TLS handling for other clients. This issue is fixed in versions 4.1.137.Final and 4.2.17.Final.

Expat through 2.8.3 contains a denial of service vulnerability caused by quadratic algorithmic complexity in the storeAtts() function in xmlparse.c, where processing N specified attributes with non-normalized values triggers an O(N^2) linear scan of elementType->defaultAtts to determine CDATA status. A remote unauthenticated attacker can supply a single well-formed XML document of a few megabytes to an application parsing untrusted XML to cause excessive CPU consumption, resulting in denial of service without requiring authentication, external entity resolution, or non-default parser options.

sqlparse is a non-validating SQL parser module for Python. Prior to 0.6.0, TokenList construction and string conversion in sqlparse/sql.py repeatedly flatten nested token subtrees constructed by group_parenthesis and group_case, causing quadratic CPU consumption through sqlparse.parse(), sqlparse.format(), and sqlparse.split() before depth and token limits terminate processing. This issue is fixed in version 0.6.0.

sqlparse is a non-validating SQL parser module for Python. Prior to 0.6.0, group_comments in sqlparse/engine/grouping.py repeatedly rescans comment-only statements before the MAX_GROUPING_TOKENS guard, causing quadratic CPU consumption through sqlparse.parse() and sqlparse.format(sql, strip_comments=True). This issue is fixed in version 0.6.0.

rsync before 3.5.0 contains an algorithmic complexity vulnerability in the hash_search() function that allows a remote attacker to cause a denial of service by delivering a carefully constructed file list. A sender can exploit the quadratic-time worst-case behavior in hash lookups to exhaust receiver CPU resources with a modest number of crafted entries, causing a sustained denial of service.

Shescape is a simple shell escape library for JavaScript. From 2.1.11 until 2.1.14 and 3.0.1, the flag-protection loop in compose in src/internal/compose.js repeatedly joins and slices flag fragments when flagProtection is enabled, which is the default, making processing quadratic in input size across the escape, escapeAll, quote, and quoteAll APIs. An attacker who can supply a large untrusted input containing many flag fragments can consume CPU and cause denial of service. This issue is fixed in versions 2.1.14 and 3.0.1.

Biblioteka Bouncy Castle dla Java zawiera podatność klasy CWE-407 (Algorithmic Complexity), polegającą na kwadratowej złożoności czasowej podczas serializacji wyróżnionych nazw X.500 (Distinguished Names). Może to prowadzić do ataku typu Denial of Service (DoS) poprzez wyczerpanie zasobów procesora.

W React Router w wersjach 7.0.0–7.17.0 nieuwierzytelniony atakujący może wysyłać ukierunkowane żądania do endpointu manifest, powodując nadmierne obciążenie serwera i spowolnienie czasów odpowiedzi. Podatność stanowi zagrożenie dla dostępności aplikacji (DoS) bez konieczności posiadania jakichkolwiek poświadczeń.

Podatność w bibliotece Apache Thrift (wiązania Node.js) polega na nieefektywnej złożoności algorytmicznej oraz braku limitowania alokacji zasobów. Umożliwia zdalnym, nieuwierzytelnionym atakującym wywołanie odmowy usługi (DoS) poprzez wyczerpanie zasobów serwera.

Biblioteka Bandit dla Elixira zawiera podatność na nieefektywną złożoność algorytmiczną podczas składania pofragmentowanych wiadomości WebSocket, umożliwiającą nieuwierzytelnionemu atakującemu zdalne wyczerpanie zasobów CPU. Wysłanie milionów małych ramek kontynuacji wystarczy, aby unieruchomić serwer na długi czas.

Biblioteka py7zr w wersjach przed 1.1.3 jest podatna na atak typu denial-of-service (DoS) podczas otwierania spreparowanego archiwum .7z. Skonstruowane przez atakującego archiwum może wywołać nadmierne zużycie CPU jeszcze przed rozpoczęciem dekompresji, prowadząc do niedostępności usługi.

Parse Server jest podatny na atak typu denial of service polegający na blokowaniu pętli zdarzeń Node.js poprzez spreparowane zapytania REST API lub LiveQuery zawierające głęboko zagnieżdżone operatory $or, $and i $nor. Podatność nie wymaga uwierzytelnienia, co czyni ją szczególnie niebezpieczną dla publicznie dostępnych instancji.

Biblioteka Immutable.js przed wersjami 4.3.9 i 5.1.8 jest podatna na celowe kolizje wartości hash prowadzące do nadmiernego zużycia CPU. Atakujący kontrolujący klucze wstawiane do struktur Immutable.Map lub Immutable.Set może doprowadzić do odmowy usługi (DoS).

Biblioteka hpax (Elixir) dekoduje zmiennodługościowe liczby całkowite HPACK bez żadnego górnego ograniczenia na ich wartość ani liczbę bajtów kontynuacji, co prowadzi do superlinearnego zużycia CPU. Nieuwierzytelniony atakujący może wywołać denial-of-service, przesyłając spreparowany blok nagłówków HTTP/2.

Podatność w bibliotece Pathway (do wersji 0.31.1 włącznie) umożliwia nieuwierzytelnionemu atakującemu wywołanie odmowy usługi (DoS) poprzez przesłanie specjalnie spreparowanego wzorca glob do publicznych endpointów HTTP. Brak ograniczeń długości wzorca oraz brak memoizacji rekurencyjnego algorytmu dopasowującego prowadzą do wykładniczego wzrostu zużycia CPU.