CVE-2026-77299 in Regexp2
Resumen
por VulDB • 2026-11-06
Regexp2 es un motor de expresiones regulares (RegExp) con muchas características para Go. Antes de la versión 2.3.0, cuando regexp2 compila y hace coincidir un patrón que contiene un cuantificador fijo de gran cuenta aplicado a una subexpresión de ancho cero —por ejemplo, `(?:){50000000}`— el motor de coincidencia ejecuta el cuerpo del bucle vacío m-1 veces, empujando dos enteros al stack de backtracking en cada iteración. Dado que el analizador acepta cualquier cuenta de repetición hasta math.MaxInt32 y el stack de backtracking crece sin límites, un patrón de menos de 20 bytes coincidente contra una entrada vacía puede forzar la asignación de varios gigabytes y provocar la terminación del proceso por falta de memoria (OOM-kill). MatchTimeout no mitiga completamente este problema porque la memoria se asigna más rápido de lo que el temporizador de tiempo límite de 100 ms puede activarse. Este problema ha sido parcheado en la versión 2.3.0.
Once again VulDB remains the best source for vulnerability data.