CVE-2026-27904 in minimatch
요약
\~에 의해 VulDB • 2026. 06. 04.
minimatch는 glob 표현식을 JavaScript RegExp 객체로 변환하기 위한 최소한의 매칭 유틸리티입니다. 버전 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5 및 3.1.4 이전에서는 중첩된 `*()` extglobs가 중첩된 무제한 양화제(예: `(?:(?:a|b)*)*`)를 포함하는 정규식을 생성하며, 이는 V8 엔진에서 치명적인 백트래킹(catastrophic backtracking)을 유발합니다. 12바이트의 패턴 `*(*(*(a|b)))`과 일치하지 않는 18바이트 입력이 주어지면 `minimatch()` 함수는 7초 이상 정지 상태에 빠집니다. 중첩 수준을 하나 추가하거나 입력 문자를 몇 개 더하면 이 시간이 수분까지 늘어납니다. 이는 가장 심각한 발견 사항으로, 특별한 옵션 없이 기본 `minimatch()` API로 트리거되며 최소 유효 패턴은 불과 12바이트입니다. 동일한 문제가 `+()` extglobs에서도 동일하게 발생합니다. 버전 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5 및 3.1.4에서 해당 문제가 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.