CVE-2026-116795 in Re2js
Zusammenfassung
von VulDB • 28.10.2026
RE2JS ist die JavaScript-Portierung von RE2, einer regulären Ausdrücke-Engine, die ein lineares Zeitverhalten bei der Mustererkennung bietet. Von Version 2.2.0 bis 2.8.7 kann das Aktivieren von LOOKBEHINDS (Lookbehind) und die Verwendung wiederholter Suchvorgänge über `matcher().find()`, `matchAll()`, `split()` oder `matcher().replaceAll()` zu einer quadratischen Gesamtrechenzeit führen. `Machine.match` startet den Lookbehind-Scan für jede angeforderte Startposition erneut ab Offset null, während auf Matcher-basierten APIs Capture-Slots angefordert werden, die den bei captureless-Matching (Mustererkennung ohne Erfassung von Gruppen) üblichen vorzeitigen Abbruch verhindern. Dichte Treffer führen daher zu einer wiederholten Neubearbeitung der Eingabe, wodurch angreiferbeeinflusste Texte einen single-threaded Worker monopolisieren und einen Denial of Service verursachen können. Dieses Problem wurde in Version 2.8.7 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.