JVNDB-2026-002775

Open JS FoundationのESLintにおける再帰制御に関する脆弱性

eslintのバージョン9.26.0より前において、eslint/lib/shared/serialization.jsで循環参照を持つオブジェクトをシリアライズする際にスタックオーバーフローの脆弱性が存在します。この脆弱性はRuleTester.run()メソッドを通じて引き起こされます。このメソッドはテストケースを検証し、重複をチェックします。検証中に内部関数checkDuplicateTestCase()が呼び出され、これがシリアライズチェックのためにisSerializable()関数を使用します。循環参照のオブジェクトが渡されると、isSerializable()は無限再帰に入り、最終的にスタックオーバーフローを引き起こします。

Open JS Foundation

• ESLint 9.26.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Gist : CVE-2025-50537: Stack Overflow Vulnerability in ESLint Serialization Logic  GitHub
• Issues : Bug: Stack overflow when serializing objects with circular references in eslint/lib/shared/serialization.js  Issue #19646  eslint/eslint

1. 不適切な再帰制御(CWE-674) [その他]

1. CVE-2025-50537

1. National Vulnerability Database (NVD) : CVE-2025-50537

• [2026年02月06日]
    掲載