Denial-of-Service-kwetsbaarheid in figlet.js verholpen in versie 1.11.3 (CVE-2026-96780)

Wat is er gebeurd

Er is een kwetsbaarheid (CVE-2026-96780, GHSA-62ch-8vmq-8xm7) vastgesteld in figlet.js, een FIG-driver geschreven in JavaScript die de FIGlet-lettertypespecificatie implementeert. De functies text() en textSync() kunnen onder specifieke omstandigheden in een oneindige lus terechtkomen, wat leidt tot excessief CPU-gebruik en groeiend geheugengebruik.

Technische oorzaak

Het probleem treedt op wanneer de optie whitespaceBreak is ingeschakeld en de geconfigureerde width kleiner is dan de weergavebreedte van een enkel FIGlet-teken. In dat geval kan de interne functie breakWord() geen geldig breekpunt vinden en keert deze terug zonder een teken te verwerken. Hierdoor verwerkt generateFigTextLines() herhaaldelijk dezelfde invoer in een lus die nooit eindigt, waarbij CPU wordt verbruikt en het geheugengebruik blijft groeien. Dit is geclassificeerd als CWE-835, Loop with Unreachable Exit Condition ('Infinite Loop').

Waarom dit relevant is

Om deze kwetsbaarheid te activeren, moeten zowel de niet-standaard optie whitespaceBreak zijn ingeschakeld als een door een aanvaller beïnvloedbare width-waarde de kwetsbare aanroep bereiken. Als aan deze voorwaarden wordt voldaan, kan een applicatie onbereikbaar worden gemaakt of overmatig resources verbruiken, zonder dat authenticatie of gebruikersinteractie vereist is, wat kan leiden tot denial of service van de betreffende dienst.

Wie wordt getroffen

Applicaties die het npm-pakket figlet gebruiken en daarbij de optie whitespaceBreak inschakelen, en die width-waarden toestaan die afkomstig zijn van door aanvallers beïnvloedbare invoer, zijn kwetsbaar. Applicaties die whitespaceBreak niet gebruiken, of die width niet blootstellen aan onvertrouwde invoer, worden niet via dit specifieke pad getroffen.

Getroffen versies

Alle versies van figlet vóór 1.11.3 zijn kwetsbaar. Het probleem is verholpen in versie 1.11.3.

Fixes en mitigatie

De leverancier heeft versie 1.11.3 van figlet uitgebracht, waarmee dit probleem is verholpen. Gebruikers van het npm-pakket figlet wordt aangeraden te updaten naar versie 1.11.3 of hoger.

Aanbevolen actie

Werk het pakket figlet bij naar versie 1.11.3 of hoger. Als directe updates niet mogelijk zijn, controleer dan of whitespaceBreak in uw configuratie is ingeschakeld en of de width-parameter kan worden beïnvloed door onvertrouwde invoer, en beperk of valideer deze invoer als tijdelijke mitigatie.