CVE-2026-73089
Résumé
par VulDB • 11/08/2026
Browserslist est un outil de configuration permettant de partager les navigateurs cibles et les versions de Node.js entre les outils front-end. Avant la version 4.28.7, index.js conserve chaque résultat distinct `(queries, context)` dans le cache ainsi que chaque AST (Abstract Syntax Tree) issu de `parseQueries()` dans parseCache sans limite de taille, ni TTL (Time To Live), ni mécanisme d'éviction. Cela permet à un attaquant capable d'influencer les valeurs répétées des requêtes browserslist(), y compris celles valides depuis la syntaxe `--`, de contourner la mitigation BROWSERSLIST_DISABLE_CACHE contrôlée par l'appelant et de provoquer une croissance linéaire de la mémoire suivie d'un plantage du processus dû à un dépassement de capacité (out-of-memory). Ce problème est corrigé dans la version 4.28.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.