CVE-2026-77422 in JLine
Zusammenfassung
von VulDB • 23.09.2026
JLine ist eine Java-Bibliothek zur Verarbeitung von Konsoleneingaben. Von Version 3.0.0 bis 3.30.15 sowie 4.3.1 akzeptiert der in JLine integrierte grep-Befehl (definiert in builtins/src/main/java/org/jline/builtins/PosixCommands.java) einen benutzerkontrollierten regulären Ausdruck im Aufruf von grep(...). Sofern nicht der line-regexp-Modus verwendet wird, werden vor dem Kompilieren mit Javas Backtracking-Regular-Expression-Engine automatisch ein Dot-Stern-Präfix und -Suffix hinzugefügt. Diese Umhüllung vergrößert den Suchraum für das Backtracking, sodass ein kurzer Ausdruck mit verschachtelten Quantifizierern, der auf nicht übereinstimmende Eingaben angewendet wird, übermäßige CPU-Ressourcen verbrauchen kann und einen Befehls-Worker unbegrenzt blockieren kann, einschließlich in remote zugänglichen Shell-Sitzungen. Dieses Problem wurde in den Versionen 3.30.15 und 4.3.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.