Applying a patch with a fuzzFactor can be very very slow
I maintainer di solito rispondono entro 1 giorno
@json-open-source ci sta già lavorando.
Dal 1/10/2026.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 48/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Tranquilla
- Stack tecnologico
- javascript
- Ambito
- security
Direzione di ricerca
Inizia dagli entrypoint applyPatch(...) e applyPatches(...) e traccia la logica di corrispondenza fuzzy delle patch descritta nel report. Riproduci i casi di controllo e i casi high-fuzzFactor predisposti per misurare il rallentamento. Il lavoro è completato quando le patch fuzzy predisposte non provocano più un uso eccessivo della CPU, mentre il normale comportamento di applicazione fuzzy rimane intatto.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Thanks to the following five security researchers for reporting this:
- [email protected] (Ziyue), https://zyy0530.github.io/
- [email protected] (Chenchen), https://7thparkk.github.io/
- [email protected] (Strick), https://str1ckl4nd.github.io/
- [email protected] (Liyi), https://lzhou1110.github.io/
- [email protected] (Maurice), http://maurice.busystar.org/
Finding 1: Fuzzy patch application can cause algorithmic complexity DoS
Affected behavior
applyPatchandapplyPatchessupport fuzzy patch matching. With crafted hunks and a highfuzzFactor, the matching logic can end up exploring many alternatives recursively and spend a large amount of CPU time on a single input.Affected entrypoints
`applyPatch(...)` `applyPatches(...)`Reproduction notes
In our reproduction, a normal control case completed in under 1 ms, while a crafted fuzzy patch took about 7.7 seconds on the same setup:
control time: 0.568181 ms
exploit time: 7737.472789 ms
slowdown: 13617.9717xThe issue appears to come from recursive branch exploration in the fuzzy patch application logic.
- Lingua principale
- JavaScript
- Stelle
- 9.2k
- Fork
- 555
- Merge medio
- 1g 9h
- PR unite (30g)
- 5
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di kpdecker/jsdiff
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
I maintainer di solito rispondono entro 1 giorno
-
Migrating to ESM onlyAperta
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
kpdecker/jsdiff#703 · 1 reazione ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 45/100
kpdecker/jsdiff#684 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
reversing a text diff?Aperta
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
kpdecker/jsdiff#629 · 7 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 30/100
kpdecker/jsdiff#624 · 6 commenti ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di kpdecker/jsdiff
Issue simili
-
Edit: Monumental TV [PY]Apertachannels:edit check:passed
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 75/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 94/100
lidofinance/docs#1033 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
I maintainer di solito rispondono entro 1 giorno