devalue: `stringifyAsync` が、返される Promise をキャッチした場合でも、未処理の拒否を引き起こす可能性があります。
複数の Promise をシリアル化する場合、後続の Promise が、先行する Promise が完了する前に拒否されることがあります。内部で拒否された Promise が、呼び出し元が返された `stringifyAsync` の Promise をキャッチした場合でも、未処理のままになることがあります。Node のデフォルトの未処理の拒否の動作により、この状況がプロセスを終了させる可能性があります。非同期の失敗やタイミングがリクエストによって影響を受けるアプリケーションは、潜在的に脆弱になる可能性があります。
これは基本的に悪用することは不可能であり、開発者が意図せず導入したバグとして現れる可能性がはるかに高いです。
影響を受けるパッケージ:
- npm (JavaScript) devalue: 影響を受けるバージョンは 5.8.0 以降、5.9.2 以下、5.9.3 で修正済み。