postcss-selector-parser allows denial of service through uncontrolled AST recursion
A vulnerability was determined in postcss-selector-parser before 6.1.3 and 7.1.1. Affected is the function toString of the file src/selectors/container.js of the component AST Serialization. Executing a manipulation can lead to uncontrolled recursion. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized. The vendor explains, that according to his definition "DoS on server-side on user-generated CSS is low risk for us (since most users compile own CSS with PostCSS)."
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | postcss-selector-parser | >= 6.1.0, < 6.1.3, >= 7.1.0, < 7.1.3 | 6.1.3, 7.1.3 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-9358
- https://github.com/postcss/postcss-selector-parser/commit/5bc698cef66f8abd12610dc623e5d67cbc0f869d
- https://github.com/postcss/postcss-selector-parser/commit/e37c5b0b785b165e27508d2489fdec8e0f18b10a
- https://gist.github.com/bx33661/581e3a38134601c04e19b4dfc9b459b9
- https://github.com/postcss/postcss-selector-parser
- https://github.com/postcss/postcss-selector-parser/releases/tag/6.1.3
- https://github.com/postcss/postcss-selector-parser/releases/tag/7.1.3
- https://vuldb.com/cve/CVE-2026-9358
- https://vuldb.com/submit/813080
- https://vuldb.com/vuln/365321
- https://vuldb.com/vuln/365321/cti
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L- Słabość (CWE)
CWE-404- Platforma
- npm
- Paczka
postcss-selector-parser- Ujawniono
- 26.05.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-w9m9-85wc-3x92 - CC BY 4.0
Historia podatności: postcss-selector-parser
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 05.2026 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Średnia 1
- Niska 1
Ujawnienia w latach
- 2026: 2
-
postcss-selector-parser allows denial of service through uncontrolled AST recursion ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.