CVE-2026-118664：decode-uri-component 造成二次方 CPU 消耗的拒絕服務漏洞
CVE-2026-118664 - decode-uri-component: Denial of service via quadratic replacement of percent-encoded runs
decode-uri-component 在 0.5.1 之前因處理百分號編碼方式不當，會導致二次方 CPU 消耗，進而阻塞 Node.js 事件迴圈，形成拒絕服務漏洞。
此 CVE 說明了在 decode-uri-component 0.5.1 之前的實現會因大量百分號編碼導致二次方 CPU 消耗，提示開發者及時升級以避免服務中斷。
譯文尚未完整，完整內容請切換至原文。
decode-uri-component 提供比 decodeURIComponent 更健壯的替代方案。在 0.5.1 之前，index.js 中的 decodeUriComponent 在本地解碼丟擲錯誤後會回退到 customDecodeURIComponent，回退過程會收集每個不同的百分比編碼序列，然後對每個條目執行一次完整字串正規表示式替換。包含許多不同序列的錯誤輸入會使替換次數和掃描輸入長度同時增長，導致二次方 CPU 消耗並阻塞 Node.js 事件迴圈；request-body 輸入可能達到示範大小，而普通 URL 標頭限制則減少實際延遲。此問題已在 0.5.1 版修正。
影響
受影響產品
以下產品受到 CVE-2026-118664 漏洞影響。即使 cvefeed.io 知道受影響產品的確切版本，該資訊也未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞的嚴重性。我們從各來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 高 | [email protected] |
將 decode-uri-component 更新至 0.5.1 或更高版本以修復二次方 CPU 消耗。
- 將 decode-uri-component 函式庫更新至 0.5.1 或更新版本。
- 測試應用程式是否有效能下降。
此處提供一份精選外部連結清單，包含深入資訊、實用解決方案及與 CVE-2026-118664 相關的有價值工具。
雖然 CVE 識別特定漏洞例項，CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-118664 相關於以下 CWEs：
Common Attack Pattern Enumeration and Classification（CAPEC）儲存攻擊模式，描述對手為利用 CVE-2026-118664 弱點所採用的常見屬性與方法。
我們掃描 GitHub 儲存庫以偵測新的概念驗證漏洞。以下清單是一系列公開漏洞與概念驗證，已於 GitHub 釋出（依最近更新時間排序）。
由於潛在的效能問題，結果限制為前 15 個儲存庫。
以下清單列出在文章中提及
CVE-2026-118664 漏洞的新聞。
以下表格列出隨時間變更的
CVE-2026-118664 漏洞變更。
漏洞歷史細節對於瞭解漏洞的演變，以及辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更都很有幫助。
-
新 CVE 已接收 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 decode-uri-component 提供了比 decodeURIComponent 更健壯的替代方案。在 0.5.1 之前，index.js 中的 decodeUriComponent 在原生解碼丟擲錯誤後會回退到 customDecodeURIComponent，回退過程會先收集每一段不同的百分比編碼，然後對每一段進行完整字串正規表示式替換。包含多段不同編碼的錯誤輸入會導致替換次數與掃描輸入長度同步增長，造成二次方 CPU 消耗並阻塞 Node.js 事件迴圈；請求主體輸入可能達到示範尺寸，而一般 URL 標頭限制會降低實際延遲。此問題已於 0.5.1 版修復。 新增 CVSS V4.0 AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CWE CWE-407 新增 CWE CWE-400 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118664.json">CVE-2026-118664</a> 新增 參考 https://github.com/SamVerschueren/decode-uri-component/commit/fad01d65b93bd3f2f0dc32dfd8d57a38b57bc608 新增 參考 https://github.com/SamVerschueren/decode-uri-component/releases/tag/v0.5.1 新增 參考 https://github.com/SamVerschueren/decode-uri-component/security/advisories/GHSA-qr28-fpjm-wq7f
EPSS 是對未來 30 天內觀察到利用活動的機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。