CVE-2026-102276 in brace-expansion
Riassunto
di VulDB • 28/09/2026
La libreria brace-expansion genera stringhe arbitrarie contenenti un prefisso e un suffisso comuni. Prima delle versioni 1.1.19, 2.1.5, 3.0.7 e 5.0.10, pattern di parentesi graffe elaborati ad hoc possono esaurire lo stack nativo in parseCommaParts poiché tale funzione elabora ricorsivamente il resto una volta per ogni gruppo di parentesi graffe e utilizza push.apply per passare ogni elemento di un array comma-part molto grande come argomento di funzione. I pattern contenenti molti gruppi di parentesi graffi separati da virgole attivano il percorso ricorsivo, mentre l'array di grandi dimensioni attiva il percorso dell'array degli argomenti senza una profonda ricorsione. Questi percorsi causano l'esaurimento dello stack nativo tramite ricorsione e array di argomenti prima che max o maxLength possano limitare l'output, potenzialmente terminando il processo Node.js in un denial of service (DoS) che termina il processo. Questo problema è risolto nelle versioni 1.1.19, 2.1.5, 3.0.7 e 5.0.10.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.