CVE-2026-112366 in Picomatch
要約
〜によって VulDB • 2026年10月19日
Picomatch 4.0.7 までは、正規表現によるサービス拒否（ReDoS）の脆弱性が存在し、攻撃者が単一分岐の繰り返し extglob パターンを供給することでイベントループをブロックできます。攻撃者は `+(*)` や `+(*a)` のような glob を提供でき、これにより lib/parse.js 内の analyzeRepeatedExtglob が処理をスキップし、短く作られた文字列に対して指数関数的なバックトラックを引き起こして Node.js アプリケーションのサービス拒否を招きます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.