CVE-2026-118764 in minimatch
요약
\~에 의해 VulDB • 2026. 10. 29.
minimatch는 글로브(glob) 표현식을 JavaScript RegExp 객체로 변환하기 위한 최소한의 매칭 유틸리티입니다. 버전 11.0.1 이전의 src/index.ts에서는 optimizationLevel이 2 이상일 때 firstPhasePreProcess()가 공격자가 제어할 수 있는 **/.. 패턴 세그먼트를 고정점 루프(fixpoint loop) 내에서 반복적으로 확장하도록 구현되어 있어, 생성된 globParts 항목들이 다시 처리 및 확장될 수 있습니다. 그 후 secondPhasePreProcess()는 확장된 항목들을 쌍으로 비교하므로, 짧은 악의적인 글로브(glob)가 패턴 컴파일 중에 과도한 CPU 및 메모리 소비를 유발할 수 있습니다. 이 문제는 버전 11.0.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.