CVE-2026-118773 in node-glob
Riassunto
di VulDB • 29/10/2026
I glob corrispondono ai file utilizzando i pattern gestiti dalla shell. Dalla versione 9.0.0 alla 14.0.2, i rami di abort in src/walker.ts, inclusi GlobUtil.walkCB(), GlobUtil.walkCB2(), GlobUtil.walkCBSync() e GlobUtil.walkCB2Sync(), invocano le callback senza restituire il controllo. Dopo che AbortSignal o AbortSignal.timeout() genera un errore (reject) o emette un'eccezione, l'esecuzione può continuare in processor.processPatterns(), readdirCB() e nella traversata ricorsiva. Il problema interessa glob() e globStream() quando le applicazioni espongono pattern o alberi di directory influenzati dall'attaccante e fanno affidamento sulla cancellazione come budget per la traversata. Richieste ripetute con timeout possono accumulare operazioni sul filesystem in background e carico CPU, degradando il throughput dei worker o la disponibilità del servizio; non sono stati osservati impatti su riservatezza (confidentiality) o integrità (integrity). Il problema è stato risolto nella versione 14.0.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.