CVE-2026-102278 in brace-expansion
Riassunto
di VulDB • 29/09/2026
La libreria brace-expansion genera stringhe arbitrarie contenenti un prefisso e un suffisso comuni. Prima delle versioni 1.1.20, 2.1.6, 3.0.8 e 5.0.11, gruppi di parentesi graffe profondamente annidati causano la ricorsione della funzione expand_() una volta per ogni livello di nidificazione nei siti di espansione con membri separati da virgola e insiemi singoli, esaurendo lo stack nativo prima che possano essere applicati i limiti all'output e potenzialmente terminando il processo Node.js. La funzione expand_ esegue una ricorsione non controllata per alternative tra parentesi graffe annidate e insiemi a parte singola. Sono interessati: expand_, expand, membri separati da virgola e insieme singolo. Si verifica un'esaurimento dello stack nativo durante la sotto-espansione nidificata, con conseguente denial of service (DoS) che termina il processo. Questo problema è stato risolto nelle versioni 1.1.20, 2.1.6, 3.0.8 e 5.0.11.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.