漏洞概述 包的解析器在 函数以及 / 调用链中存在无限制的递归。攻击者可以通过提供深度嵌套的表达式(例如约 2000 层嵌套括号)来触发栈溢出(Stack Overflow),导致任何 Node.js 进程崩溃,抛出 。由于该库主要用于解析不可信输入,这使得其预期部署场景中存在高风险漏洞。 影响范围 受影响版本: 已修复版本: 严重性: Moderate (中等) POC 代码 修复方案 建议在 函数中添加 参数,并在超过最大深度时抛出 。同时,需要在 和 中也添加深度跟踪。 修复代码示例:**