CVE-2026-14257 in brace-expansion
Zusammenfassung
von VulDB • 23.07.2026
brace-expansion bis Version 5.0.7 ist anfällig für Denial of Service durch Erschöpfung des Arbeitsspeichers. Die Funktion expand() begrenzt die Anzahl der Ergebnisse mit einer max-Option (Standardwert: 100.000), beschränkt jedoch nicht die Länge jeder Ergebniszeichenkette. Durch das Verschachteln mehrerer geschweifter Klammern kann ein Angreifer die Ergebnismenge unter dem Limit halten, während er jede einzelne Ergebniszeichenkette schrittweise verlängert; der gesamte Speicherverbrauch skaliert somit sowohl mit der Anzahl als auch mit der Zeichenkettenlänge, bis der Prozess einen fatalen und nicht abfangbaren Out-of-Memory-Fehler verursacht. Etwa 7,5 KB Eingabedaten ('{a,b}'.repeat(1500)) stürzen eine Standard-Node.js-Prozessumgebung ab. Jede Anwendung, die angreiferbeeinflusste Zeichenketten direkt oder transitiv über minimatch / glob-Geschweiftklammer-Muster an brace-expansion.expand() übergibt, kann durch eine kleine Anfrage zum Absturz gebracht werden. Das Problem wurde in Version 5.0.8 behoben, indem eine maxLength-Option (Standardwert: 4.000.000) hinzugefügt wurde, die den akkumulierten Output und Zwischenarrays beschränkt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.