Applying a patch with a fuzzFactor can be very very slow

Đang mở
  • Có gì không ổn?
#692 2 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

@json-open-source đang làm issue này rồi.

Từ ngày 1/10/2026.

  • #711 của @json-open-source — đang mở
  • #716 của @anzal1 — đang mở

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
48/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
javascript
Lĩnh vực
security

Hướng nghiên cứu

Bắt đầu từ các entrypoint applyPatch(...) và applyPatches(...) rồi lần theo logic so khớp bản vá fuzzy được mô tả trong báo cáo. Tái hiện các trường hợp đối chứng và các trường hợp high-fuzzFactor được tạo ra để đo mức chậm lại. Hoàn tất nghĩa là các bản vá fuzzy được tạo ra không còn gây ra thời gian sử dụng CPU quá mức, trong khi hành vi áp dụng fuzzy bình thường vẫn được giữ nguyên.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

performance

Thanks to the following five security researchers for reporting this:

Finding 1: Fuzzy patch application can cause algorithmic complexity DoS
Affected behavior

applyPatch and applyPatches support fuzzy patch matching. With crafted hunks and a high fuzzFactor, the matching logic can end up exploring many alternatives recursively and spend a large amount of CPU time on a single input.

Affected entrypoints

`applyPatch(...)`
`applyPatches(...)`

Reproduction notes
In our reproduction, a normal control case completed in under 1 ms, while a crafted fuzzy patch took about 7.7 seconds on the same setup:

control time: 0.568181 ms
exploit time: 7737.472789 ms
slowdown: 13617.9717x

The issue appears to come from recursive branch exploration in the fuzzy patch application logic.

Ngôn ngữ chính
JavaScript
Star
9.2k
Fork
555
Merge trung bình
1 ngày 9 giờ
Pull request đã merge (30 ngày)
5

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của kpdecker/jsdiff

Tất cả issue của kpdecker/jsdiff

Issue tương tự

Thêm issue về JavaScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.