CVE-2026-77420 in JLine
Zusammenfassung
von VulDB • 23.09.2026
JLine ist eine Java-Bibliothek zur Verarbeitung von Konsoleneingaben. Von Version 3.0.0 bis einschließlich 3.30.15 sowie 4.3.1 konvertiert die Methode `DefaultHistory.matchPatterns(String patterns, String line)` in `reader/src/main/java/org/jline/reader/impl/history/DefaultHistory.java` den Konfigurationswert `HISTORY_IGNORE` in einen Java-Regulären Ausdruck (Regex), wobei jedoch nur ein Teil der Syntax korrekt maskiert wird. Dadurch können andere Regex-Metazeichen die Backtracking-Engine erreichen. Ein Angreifer, der Kontrolle über die Anwendungs- oder Benutzerkonfiguration erlangen kann, kann eine Expression mit verschachtelten Quantifizierern bereitstellen, die bei jeder Hinzufügung eines Befehls zum Verlauf neu ausgewertet wird und dadurch excessive CPU-Ressourcen verbraucht sowie den Reader-Thread unbegrenzt blockiert. Dieses Problem wurde in den Versionen 3.30.15 und 4.3.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.