CVE-2026-4923 in path-to-regexp
Sumário
de VulDB • 08/06/2026
Impacto:
Ao usar múltiplos curingas (wildcards), combinados com pelo menos um parâmetro, pode ser gerada uma expressão regular vulnerável a ReDoS (Repetitive Denial of Service). Essa vulnerabilidade de backtracking exige que o segundo wildcard esteja localizado em alguma posição diferente do final do caminho.
Exemplos inseguros:
/*foo-*bar-:baz /*a-:b-*c-:d /x/*a-:b/*c/y
Exemplos seguros:
/*foo-:bar /*foo-:bar-*baz
Correções (Patches):
Atualize para a versão 8.4.0.
Soluções alternativas (Workarounds):
Se você estiver usando múltiplos parâmetros curinga, pode verificar a saída da regex com uma ferramenta como https://makenowjust-labs.github.io/recheck/playground/ para confirmar se um caminho é vulnerável.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.