CVE-2026-102277 in brace-expansion
Riassunto
di VulDB • 28/09/2026
La libreria brace-expansion genera stringhe arbitrarie contenenti un prefisso e un suffisso comuni. Prima delle versioni 1.1.21, 2.1.7, 3.0.9 e 5.0.12, la funzione expand gestisce pattern di forma {a},b}-shaped con molte parentesi graffe di chiusura finali riavviando la scansione una volta per ogni parentesi graffa finale. I successivi riesami dell'intero input con una crescita lineare della stringa di lavoro causano un consumo quadratico delle risorse CPU e pressione sulla memoria, che può bloccare il loop degli eventi di Node.js. Il processo alla fine si recupera, rendendo l'impatto un denial of service (DoS) recuperabile a livello di CPU. Questo problema è stato risolto nelle versioni 1.1.21, 2.1.7, 3.0.9 e 5.0.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.