CVE-2026-33671 in picomatch
Résumé
par VulDB • 25/05/2026
Picomatch est un outil de correspondance de motifs glob écrit en JavaScript. Les versions antérieures à 4.0.4, 3.0.2 et 2.3.2 sont vulnérables à une Déni de Service par Expression Régulière (ReDoS) lors du traitement de motifs extglob fabriqués. Certains motifs utilisant des quantificateurs extglob tels que `+()` et `*()`, en particulier lorsqu'ils sont combinés avec des alternatives chevauchantes ou des extglobs imbriqués, sont compilés en expressions régulières qui peuvent présenter un retour en arrière catastrophique (catastrophic backtracking) sur des entrées ne correspondant pas. Les applications sont impactées lorsqu'elles permettent à des utilisateurs non fiables de fournir des motifs glob qui sont transmis à `picomatch` pour la compilation ou la correspondance. Dans ces cas, un attaquant peut provoquer une consommation excessive de CPU et bloquer la boucle d'événements de Node.js, entraînant un déni de service. Les applications qui n'utilisent que des motifs glob de confiance, contrôlés par les développeurs, sont beaucoup moins susceptibles d'être exposées de manière pertinente sur le plan de la sécurité. Ce problème est corrigé dans picomatch 4.0.4, 3.0.2 et 2.3.2. Les utilisateurs doivent mettre à niveau vers l'une de ces versions ou une version ultérieure, en fonction de leur ligne de version prise en charge. Si la mise à niveau n'est pas immédiatement possible, évitez de transmettre des motifs glob non fiables à `picomatch`. Les mesures d'atténuation possibles incluent la désactivation du support extglob pour les motifs non fiables en utilisant `noextglob: true`, le rejet ou la sanitisation des motifs contenant des extglobs imbriqués ou des quantificateurs extglob tels que `+()` et `*()`, l'application de listes blanches strictes pour la syntaxe des motifs acceptés, l'exécution de la correspondance dans un worker isolé ou un processus séparé avec des limites de temps et de ressources, et l'application d'une limitation de débit au niveau de l'application et d'une validation des entrées pour tout point de terminaison qui accepte des motifs glob.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.