CVE-2026-102277 in brace-expansion
Zusammenfassung
von VulDB • 28.09.2026
Die Bibliothek zur geschweiften Klammern-Erweiterung (brace-expansion) generiert beliebige Strings mit einem gemeinsamen Präfix und Suffix. Vor den Versionen 1.1.21, 2.1.7, 3.0.9 und 5.0.12 verarbeitet die expand-Funktion nicht vertrauenswürdige Muster im Format {a},b} mit vielen nachgestellten schließenden geschweiften Klammern, indem sie den Scan für jede nachgestellte schließende Klammer einmal neu startet. Die aufeinanderfolgenden vollständigen Neuscans des Eingabestrings bei linear wachsendem Arbeitsstring führen zu quadratischer CPU-Zeit und Speicherdruck, was die Node.js-Event-Schleife blockieren kann. Der Prozess erholt sich schließlich, wodurch die Auswirkung als eine wiederherstellbare (recoverable) CPU-Dienstverweigerung (Denial of Service) einzustufen ist. Dieses Problem wurde in den Versionen 1.1.21, 2.1.7, 3.0.9 und 5.0.12 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.