CVE-2026-13149

W bibliotece brace-expansion do wersji 1.1.11, 2.0.1, 3.0.0 i 4.0.0 wykryto podatność polegającą na nieefektywnej złożoności wyrażenia regularnego w funkcji expand w pliku index.js. Atak może być przeprowadzony zdalnie.

Biblioteka brace-expansion generuje dowolne ciągi znaków zawierające wspólny prefiks i sufiks. W wersjach przed 1.1.20, 2.1.6, 3.0.8 i 5.0.11 głęboko zagnieżdżone grupy nawiasów powodują, że expand_() rekursuje raz na poziom zagnieżdżenia w miejscach rozwinięcia elementów oddzielonych przecinkami i pojedynczych zestawów, wyczerpując natywny stos zanim limity wyjściowe mogą zostać zastosowane, potencjalnie kończąc proces Node.js. expand_ wykonuje niekontrolowaną rekurencję dla zagnieżdżonych alternatyw nawiasów i zestawów jednoczęściowych. głęboko zagnieżdżone grupy nawiasów dostarczone jako niezaufany wzorzec. expand_ jest dotknięty. expand jest dotknięty. Elementy oddzielone przecinkami są dotknięte. Pojedynczy zestaw jest dotknięty. wyczerpanie natywnego stosu podczas zagnieżdżonego podrozwinięcia. odmowa usługi kończąca proces. Problem został naprawiony w wersjach 1.1.20, 2.1.6, 3.0.8 i 5.0.11.

Biblioteka brace-expansion generuje dowolne ciągi znaków zawierające wspólny prefiks i sufiks. W wersjach przed 1.1.21, 2.1.7, 3.0.9 i 5.0.12 funkcja expand obsługuje niezaufane wzorce w kształcie {a},b} z wieloma końcowymi nawiasami zamykającymi, restartując skanowanie raz dla każdego końcowego nawiasu. Kolejne pełne rescany wejścia z liniowym wzrostem ciągu roboczego powodują kwadratowy czas CPU i presję na pamięć, co może zablokować pętlę zdarzeń Node.js.

Biblioteka brace-expansion generuje dowolne ciągi znaków na podstawie wspólnego prefiksu i sufiksu. W wersjach przed 1.1.19, 2.1.5, 3.0.7 i 5.0.10 specjalnie spreparowane wzorce nawiasów klamrowych mogą wyczerpać natywny stos w funkcji parseCommaParts, ponieważ funkcja ta rekurencyjnie przetwarza resztę raz na każdą grupę nawiasów oraz używa push.apply do przekazania wszystkich elementów bardzo dużej tablicy jako argumentów funkcji. Może to doprowadzić do zakończenia procesu Node.js w wyniku ataku typu denial of service.

Biblioteka brace-expansion przed wersjami 1.1.18, 2.1.4, 3.0.6 i 5.0.9 zawiera podatność polegającą na tym, że funkcja expand() nie stosuje ograniczenia maxLength podczas konstruowania pośrednich tablic alternatywnych przecinków lub wypełnionych sekwencji. Pozwala to na wyczerpanie pamięci lub zablokowanie pętli zdarzeń przez kontrolowane przez atakującego dane wejściowe.

brace-expansion do wersji 5.0.7 jest podatny na atak DoS przez wyczerpanie pamięci. Funkcja expand() ogranicza liczbę wyników opcją max (domyślnie 100 000), ale nie ogranicza długości każdego łańcucha wynikowego. Łącząc wiele grup nawiasów klamrowych, atakujący utrzymuje liczbę wyników poniżej limitu, jednocześnie sprawiając, że każdy wynik jest coraz dłuższy, co prowadzi do fatalnego błędu braku pamięci. Około 7,5 KB wejścia ('{a,b}'.repeat(1500)) powoduje awarię domyślnego procesu Node.js. Podatność załatana w wersji 5.0.8 przez dodanie opcji maxLength (domyślnie 4 000 000).

Biblioteka brace-expansion w wersjach od 5.0.0 do przed 5.0.6 ma wadę w implementacji opcji max. Przy rozwijaniu dużego zakresu liczbowego (np. {1..10000000}) generowane są wszystkie elementy pośrednie przed zastosowaniem limitu, co prowadzi do nadmiernego zużycia pamięci (ok. 505 MB) i czasu procesora (ok. 800 ms). Problem został naprawiony w wersji 5.0.6.