🛡 xj1.fr/cve
FICHE CVE

CVE-2025-69873

Publiée le 2026-02-11 · Dernière modification le 2026-09-10

🇫🇷 EN BREF

Les applications utilisant la bibliothèque `ajv` pour la validation de schémas JSON sont concernées si l'option `$data` est activée. Un attaquant peut envoyer un modèle d'expression régulière spécifiquement conçu dans une requête pour déclencher un « catastrophic backtracking » (retour en arrière catastrophique), ce qui fige le processeur et provoque un déni de service. Cela nécessite un accès réseau à l'API, bien que l'exécution soit difficile car elle dépend de la manière spécifique dont l'application implémente la validation dynamique de schéma.

CVSS 3.12.9 FAIBLE
Type de faiblesse
Déni de service par expression régulière (ReDoS) · CWE-1333Consommation de ressources non contrôlée · CWE-400
Publiée2026-02-11
Dernière modification2026-09-10

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal
Complexité d'attaqueÉlevée
Privilèges requisAucun
Interaction utilisateurAucune
PortéeInchangée
Impact sur la confidentialitéAucun
Impact sur l'intégritéAucun
Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

ajv (Another JSON Schema Validator) before 8.18.0 is vulnerable to Regular Expression Denial of Service (ReDoS) when the $data option is enabled. The pattern keyword accepts runtime data via JSON Pointer syntax ($data reference), which is passed directly to the JavaScript RegExp() constructor without validation. An attacker can inject a malicious regex pattern (e.g., "^(a|a)*$") combined with crafted input to cause catastrophic backtracking. A 31-character payload causes approximately 44 seconds of CPU blocking, with each additional character doubling execution time. This enables complete denial of service with a single HTTP request against any API using ajv with $data: true for dynamic schema validation. This issue is also fixed in version 6.14.0.