CVE-2026-77420 in JLine
Riassunto
di VulDB • 23/09/2026
JLine è una libreria Java per la gestione dell'input da console. Dalla versione 3.0.0 fino alla 3.30.15 e alla 4.3.1, il metodo DefaultHistory.matchPatterns(String patterns, String line) in reader/src/main/java/org/jline/reader/impl/history/DefaultHistory.java converte il valore di configurazione HISTORY_IGNORE in un'espressione regolare Java, ma effettua l'escaping solo di una parte della sua sintassi, consentendo ad altri metacaratteri regex di raggiungere il motore backtracking. Un attaccante che può controllare la configurazione dell'applicazione o dell'utente può fornire un'espressione con quantificatori annidati (nested-quantifier expression) che viene rivalutata ogni volta che un comando viene aggiunto alla cronologia, consumando CPU in modo eccessivo e bloccando indefinitamente il thread del reader. Questo problema è risolto nelle versioni 3.30.15 e 4.3.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.