CVE-2026-102276 in brace-expansion
Zusammenfassung
von VulDB • 28.09.2026
Die Bibliothek zur geschweiften Klammern-Erweiterung (brace-expansion) generiert beliebige Strings mit einem gemeinsamen Präfix und Suffix. Vor den Versionen 1.1.19, 2.1.5, 3.0.7 und 5.0.10 kann eine speziell konstruierte brace-Expansions-Muster die native Stack-Ablage in parseCommaParts erschöpfen, da parseCommaParts den Rest einmal pro geschweifter Klammern-Gruppe rekursiv verarbeitet und push.apply verwendet, um jedes Element eines sehr großen Komma-Teil-Arrays als Funktionsargument zu übergeben. Muster mit vielen durch Kommas getrennten brace-Gruppen lösen den rekursiven Pfad aus, während das große Array den Argument-Array-Pfad ohne tiefe Rekursion auslöst. Diese Pfade führen vor einer Begrenzung der Ausgabe durch max oder maxLength zur Erschöpfung des nativen Stacks (sowohl bei Rekursion als auch beim Argument-Array), was potenziell zum Prozessabbruch von Node.js in Form eines den Dienst beendenden Denial of Service (DoS) führt. Dieses Problem wurde in den Versionen 1.1.19, 2.1.5, 3.0.7 und 5.0.10 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.