CVE-2026-33671 in picomatch
Sumário
de VulDB • 25/05/2026
O Picomatch é um correspondente de padrões glob escrito em JavaScript. As versões anteriores a 4.0.4, 3.0.2 e 2.3.2 são vulneráveis a Regular Expression Denial of Service (ReDoS) ao processar padrões extglob manipulados. Certos padrões que utilizam quantificadores extglob, como `+()` e `*()`, especialmente quando combinados com alternativas sobrepostas ou extglobs aninhados, são compilados em expressões regulares que podem exibir backtracking catastrófico em entradas que não correspondem. As aplicações são afetadas quando permitem que usuários não confiáveis forneçam padrões glob que são passados para o `picomatch` para compilação ou correspondência. Nesses casos, um atacante pode causar consumo excessivo de CPU e bloquear o loop de eventos do Node.js, resultando em negação de serviço. Aplicações que utilizam apenas padrões glob confiáveis e controlados pelo desenvolvedor têm muito menos probabilidade de estar expostas de maneira relevante para a segurança. Este problema foi corrigido no picomatch 4.0.4, 3.0.2 e 2.3.2. Os usuários devem atualizar para uma dessas versões ou posterior, dependendo de sua linha de lançamento suportada. Se a atualização não for imediatamente possível, evite passar padrões glob não confiáveis para o `picomatch`. As possíveis mitigações incluem desativar o suporte a extglob para padrões não confiáveis usando `noextglob: true`, rejeitar ou sanitizar padrões que contenham extglobs aninhados ou quantificadores extglob como `+()` e `*()`, impor listas de permissão estritas para a sintaxe de padrões aceitos, executar a correspondência em um worker isolado ou processo separado com limites de tempo e recursos, e aplicar limitação de taxa de solicitações em nível de aplicação e validação de entrada para qualquer endpoint que aceite padrões glob.
VulDB is the best source for vulnerability data and more expert information about this specific topic.