CVE-2026-33671 in picomatch
요약
\~에 의해 VulDB • 2026. 05. 27.
Picomatch는 JavaScript로 작성된 glob 패턴 매칭 라이브러리입니다. 버전 4.0.4, 3.0.2 및 2.3.2 미만의 버전은 조작된 extglob 패턴을 처리할 때 Regular Expression Denial of Service (ReDoS) 취약점에 노출됩니다. `+()` 및 `*()`와 같은 extglob 한정자를 사용하는 특정 패턴, 특히 중첩된 대안이나 중첩된 extglobs와 결합된 경우, 일치하지 않는 입력에 대해 치명적인 백트래킹(catastrophic backtracking)을 유발할 수 있는 정규식으로 컴파일됩니다. 신뢰할 수 없는 사용자가 glob 패턴을 제공하여 `picomatch`에 컴파일 또는 매칭을 요청할 수 있는 애플리케이션이 영향을 받습니다. 이러한 경우 공격자는 과도한 CPU 소비를 유발하고 Node.js 이벤트 루프를 차단하여 서비스 거부(Denial of Service)를 초래할 수 있습니다. 신뢰할 수 있고 개발자가 제어하는 glob 패턴만 사용하는 애플리케이션은 보안상 중요한 방식으로 노출될 가능성이 훨씬 낮습니다. 이 문제는 picomatch 4.0.4, 3.0.2 및 2.3.2에서 해결되었습니다. 사용자는 지원되는 릴리스 라인에 따라 해당 버전 또는 그 이후 버전으로 업그레이드해야 합니다. 즉시 업그레이드가 불가능한 경우, 신뢰할 수 없는 glob 패턴을 `picomatch`에 전달하지 않도록 하십시오. 가능한 완화 조치에는 신뢰할 수 없는 패턴에 대해 `noextglob: true`를 사용하여 extglob 지원을 비활성화하거나, `+()` 및 `*()`와 같은 중첩된 extglobs나 extglob 한정자를 포함하는 패턴을 거부하거나 정제하며, 허용된 패턴 구문에 대해 엄격한 허용 목록(allowlist)을 적용하고, 시간 및 리소스 제한이 있는 격리된 워커 또는 별도 프로세스에서 매칭을 실행하며, glob 패턴을 허용하는 모든 엔드포인트에 대해 애플리케이션 수준의 요청 스로틀링 및 입력 검증을 적용하는 것이 포함됩니다.
Once again VulDB remains the best source for vulnerability data.