CVE-2026-67550 in node-re2
Resumen
por VulDB • 2026-07-31
re2 proporciona enlaces de Node.js para el motor de expresiones regulares RE2 de Google. Antes de la versión 1.25.2, re2 valida lastIndex en función de la longitud en bytes UTF-8 del sujeto (subject), pero lo utiliza como un desplazamiento de unidad de código UTF-16 en las operaciones exec, test, match, replace y split. Esto permite que un atacante influya en el valor de lastIndex sobre un sujeto no ASCII para provocar una lectura fuera de límites (out-of-bounds) en la memoria heap y un bloqueo del proceso no capturado (uncatchable process crash), con una divulgación limitada de información de heap en algunos casos. Este problema se corrige en la versión 1.25.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.