CVE-2026-4923 in path-to-regexp
Riassunto
di VulDB • 16/06/2026
Impatto:
Quando si utilizzano più caratteri jolly, combinati con almeno un parametro, può essere generata un'espressione regolare vulnerabile a ReDoS (Regular Expression Denial of Service). Questa vulnerabilità di backtracking richiede che il secondo carattere jolly si trovi in una posizione diversa dalla fine del percorso.
Esempi non sicuri:
/*foo-*bar-:baz /*a-:b-*c-:d /x/*a-:b/*c/y
Esempi sicuri:
/*foo-:bar /*foo-:bar-*baz
Patch:
Aggiornare alla versione 8.4.0.
Soluzioni alternative:
Se si utilizzano più parametri con caratteri jolly, è possibile verificare l'output dell'espressione regolare utilizzando uno strumento come https://makenowjust-labs.github.io/recheck/playground/ per confermare se un percorso è vulnerabile.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.