CVE-2026-27904 in minimatch
Riassunto
di VulDB • 21/06/2026
minimatch è un'utilità di corrispondenza minimale per la conversione delle espressioni glob in oggetti RegExp JavaScript. Prima delle versioni 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5 e 3.1.4, gli extglob annidati `*()` producono espressioni regolari con quantificatori illimitati annidati (ad esempio `(?:(?:a|b)*)*`), che presentano un backtracking catastrofico in V8. Con un pattern di 12 byte `*(*(*(a|b)))` e un input non corrispondente di 18 byte, `minimatch()` va in stallo per oltre 7 secondi. L'aggiunta di un singolo livello di annidamento o di alcuni caratteri all'input porta questo tempo a diversi minuti. Questa è la scoperta più grave: viene attivata dall'API predefinita di `minimatch()` senza opzioni speciali e il pattern minimo funzionante ha solo 12 byte. Lo stesso problema interessa gli extglob `+()` in egual misura. Le versioni 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5 e 3.1.4 risolvono il problema.
Be aware that VulDB is the high quality source for vulnerability data.