CVE-2026-13149
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece brace-expansion do wersji 5.0.6 umożliwia atak DoS poprzez przesłanie spreparowanego ciągu znaków z dużą liczbą grup klamrowych '{}'. Funkcja expand() ma złożoność wykładniczą, co prowadzi do znacznego obciążenia CPU i blokowania pętli zdarzeń.
Ocena ryzyka
Atakujący może zdalnie przeciążyć serwer lub aplikację, powodując niedostępność usługi dla użytkowników. Opcja max nie chroni przed tym atakiem, ponieważ ogranicza tylko rozmiar wyniku, a nie złożoność obliczeniową.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę brace-expansion do wersji 5.0.7 lub nowszej, która zawiera poprawkę. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji expand() dla niezaufanych danych wejściowych.
Inne podatności w brace-expansion
Zobacz wszystkie- CVE-2025-5889Niskie
W bibliotece brace-expansion do wersji 1.1.11, 2.0.1, 3.0.0 i 4.0.0 wykryto podatność polegającą na nieefektywnej złożoności wyrażenia regularnego w funkcji expand w pliku index.js. Atak może być przeprowadzony zdalnie.
- CVE-2026-69152Wysokie
Biblioteka brace-expansion przed wersjami 1.1.18, 2.1.4, 3.0.6 i 5.0.9 zawiera podatność polegającą na tym, że funkcja expand() nie stosuje ograniczenia maxLength podczas konstruowania pośrednich tablic alternatywnych przecinków lub wypełnionych sekwencji. Pozwala to na wyczerpanie pamięci lub zablokowanie pętli zdarzeń przez kontrolowane przez atakującego dane wejściowe.
- CVE-2026-14257Wysokie
brace-expansion do wersji 5.0.7 jest podatny na atak DoS przez wyczerpanie pamięci. Funkcja expand() ogranicza liczbę wyników opcją max (domyślnie 100 000), ale nie ogranicza długości każdego łańcucha wynikowego. Łącząc wiele grup nawiasów klamrowych, atakujący utrzymuje liczbę wyników poniżej limitu, jednocześnie sprawiając, że każdy wynik jest coraz dłuższy, co prowadzi do fatalnego błędu braku pamięci. Około 7,5 KB wejścia ('{a,b}'.repeat(1500)) powoduje awarię domyślnego procesu Node.js. Podatność załatana w wersji 5.0.8 przez dodanie opcji maxLength (domyślnie 4 000 000).
- CVE-2026-45149Średnie
Biblioteka brace-expansion w wersjach od 5.0.0 do przed 5.0.6 ma wadę w implementacji opcji max. Przy rozwijaniu dużego zakresu liczbowego (np. {1..10000000}) generowane są wszystkie elementy pośrednie przed zastosowaniem limitu, co prowadzi do nadmiernego zużycia pamięci (ok. 505 MB) i czasu procesora (ok. 800 ms). Problem został naprawiony w wersji 5.0.6.
Oryginalny opis (angielski, źródło NVD)
brace-expansion through 5.0.6 is vulnerable to denial of service. The expand() function exhibits exponential-time complexity in the number of consecutive non-expanding '{}' brace groups. An attacker who passes a crafted string to expand(), directly or transitively, can cause significant CPU consumption and event-loop blocking. The max option does not mitigate this, as it bounds the output size rather than the recursion work.