CVE-2026-77299 in Regexp2
Сводка
по VulDB • 06.11.2026
Regexp2 — это многофункциональный движок регулярных выражений для Go. До версии 2.3.0, когда regexp2 компилирует и сопоставляет шаблон с большим фиксированным счетчиком повторений, примененным к подвыражению нулевой ширины (например, `(?:){50000000}`), движок сопоставления выполняет тело пустого цикла m-1 раз, помещая два целых числа в стек backtracking на каждой итерации. Поскольку парсер принимает любое количество повторений до math.MaxInt32, а стек backtracking растет без ограничений, шаблон длиной менее 20 байт, примененный к пустому входному потоку, может вызвать выделение памяти размером в несколько гигабайт и привести к завершению процесса из-за нехватки памяти (OOM-kill). MatchTimeout не полностью смягчает эту проблему, поскольку память выделяется быстрее, чем срабатывает таймаут в 100 мс. Эта проблема исправлена в версии 2.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.