CVE-2026-118773

ŚrednieCVSS 6.3

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

W bibliotece glob od wersji 9.0.0 do 14.0.2 gałęzie przerwania w src/walker.ts, w tym GlobUtil.walkCB(), GlobUtil.walkCB2(), GlobUtil.walkCBSync() i GlobUtil.walkCB2Sync(), wywołują wywołania zwrotne bez zwracania. Po odrzuceniu lub błędzie AbortSignal albo AbortSignal.timeout() wykonanie może kontynuować do processor.processPatterns(), readdirCB() i rekurencyjnego przechodzenia. Problem dotyczy glob() i globStream(), gdy aplikacje udostępniają wzorce lub drzewa katalogów pod wpływem atakującego i polegają na anulowaniu jako budżecie przechodzenia.

Ocena ryzyka

Atakujący może wielokrotnie wysyłać żądania z przekroczeniem limitu czasu, powodując nawarstwianie się operacji systemu plików i pracy CPU w tle. Może to obniżyć przepustowość procesów roboczych lub dostępność usługi.

Rekomendacja

Zaktualizuj glob do wersji 14.0.2 lub nowszej. Ogranicz ekspozycję wzorców i drzew katalogów kontrolowanych przez atakującego oraz rozważ dodatkowe limity zasobów.

Inne podatności w glob

CVE-2025-64756Wysokie
Glob dopasowuje pliki przy użyciu wzorców używanych przez powłokę. Począwszy od wersji 10.2.0 do przed 10.5.0 i 11.1.0, CLI glob zawiera podatność na wstrzyknięcie poleceń w opcji -c/--cmd, która pozwala na wykonanie dowolnych poleceń podczas przetwarzania plików o złośliwych nazwach. Gdy używane jest glob -c <command> <patterns>, dopasowane nazwy plików są przekazywane do powłoki z shell: true, co umożliwia metaznaki powłoki w nazwach plików do wywołania wstrzyknięcia poleceń i osiągnięcia wykonania dowolnego kodu z uprawnieniami użytkownika lub konta CI. Problem został naprawiony w wersjach 10.5.0 i 11.1.0.

Oryginalny opis (angielski, źródło NVD)

Glob matches files using patterns the shell uses. From 9.0.0 until 14.0.2, abort branches in src/walker.ts, including GlobUtil.walkCB(), GlobUtil.walkCB2(), GlobUtil.walkCBSync(), and GlobUtil.walkCB2Sync(), invoke the callbacks without returning. After AbortSignal or AbortSignal.timeout() rejects or emits an error, execution can continue into processor.processPatterns(), readdirCB(), and recursive traversal. The issue affects glob() and globStream() when applications expose attacker-influenced patterns or directory trees and rely on cancellation as a traversal budget. Repeated timed-out requests can stack background filesystem operations and CPU work, degrading worker throughput or service availability; no confidentiality or integrity impact was observed. This issue is fixed in 14.0.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS