CVE-2026-14257
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
brace-expansion do wersji 5.0.7 jest podatny na atak DoS przez wyczerpanie pamięci. Funkcja expand() ogranicza liczbę wyników opcją max (domyślnie 100 000), ale nie ogranicza długości każdego łańcucha wynikowego. Łącząc wiele grup nawiasów klamrowych, atakujący utrzymuje liczbę wyników poniżej limitu, jednocześnie sprawiając, że każdy wynik jest coraz dłuższy, co prowadzi do fatalnego błędu braku pamięci. Około 7,5 KB wejścia ('{a,b}'.repeat(1500)) powoduje awarię domyślnego procesu Node.js. Podatność załatana w wersji 5.0.8 przez dodanie opcji maxLength (domyślnie 4 000 000).
Ocena ryzyka
Ryzyko awarii aplikacji przez małe żądanie, co może prowadzić do przerwania działania usługi (DoS).
Rekomendacja
Zaktualizuj bibliotekę brace-expansion do wersji 5.0.8 lub nowszej.
Inne podatności w brace-expansion
Zobacz wszystkie- CVE-2025-5889Niskie
W bibliotece brace-expansion do wersji 1.1.11, 2.0.1, 3.0.0 i 4.0.0 wykryto podatność polegającą na nieefektywnej złożoności wyrażenia regularnego w funkcji expand w pliku index.js. Atak może być przeprowadzony zdalnie.
- CVE-2026-102278Wysokie
Biblioteka brace-expansion generuje dowolne ciągi znaków zawierające wspólny prefiks i sufiks. W wersjach przed 1.1.20, 2.1.6, 3.0.8 i 5.0.11 głęboko zagnieżdżone grupy nawiasów powodują, że expand_() rekursuje raz na poziom zagnieżdżenia w miejscach rozwinięcia elementów oddzielonych przecinkami i pojedynczych zestawów, wyczerpując natywny stos zanim limity wyjściowe mogą zostać zastosowane, potencjalnie kończąc proces Node.js. expand_ wykonuje niekontrolowaną rekurencję dla zagnieżdżonych alternatyw nawiasów i zestawów jednoczęściowych. głęboko zagnieżdżone grupy nawiasów dostarczone jako niezaufany wzorzec. expand_ jest dotknięty. expand jest dotknięty. Elementy oddzielone przecinkami są dotknięte. Pojedynczy zestaw jest dotknięty. wyczerpanie natywnego stosu podczas zagnieżdżonego podrozwinięcia. odmowa usługi kończąca proces. Problem został naprawiony w wersjach 1.1.20, 2.1.6, 3.0.8 i 5.0.11.
- CVE-2026-102277Średnie
Biblioteka brace-expansion generuje dowolne ciągi znaków zawierające wspólny prefiks i sufiks. W wersjach przed 1.1.21, 2.1.7, 3.0.9 i 5.0.12 funkcja expand obsługuje niezaufane wzorce w kształcie {a},b} z wieloma końcowymi nawiasami zamykającymi, restartując skanowanie raz dla każdego końcowego nawiasu. Kolejne pełne rescany wejścia z liniowym wzrostem ciągu roboczego powodują kwadratowy czas CPU i presję na pamięć, co może zablokować pętlę zdarzeń Node.js.
- CVE-2026-102276Wysokie
Biblioteka brace-expansion generuje dowolne ciągi znaków na podstawie wspólnego prefiksu i sufiksu. W wersjach przed 1.1.19, 2.1.5, 3.0.7 i 5.0.10 specjalnie spreparowane wzorce nawiasów klamrowych mogą wyczerpać natywny stos w funkcji parseCommaParts, ponieważ funkcja ta rekurencyjnie przetwarza resztę raz na każdą grupę nawiasów oraz używa push.apply do przekazania wszystkich elementów bardzo dużej tablicy jako argumentów funkcji. Może to doprowadzić do zakończenia procesu Node.js w wyniku ataku typu denial of service.
- CVE-2026-69152Wysokie
Biblioteka brace-expansion przed wersjami 1.1.18, 2.1.4, 3.0.6 i 5.0.9 zawiera podatność polegającą na tym, że funkcja expand() nie stosuje ograniczenia maxLength podczas konstruowania pośrednich tablic alternatywnych przecinków lub wypełnionych sekwencji. Pozwala to na wyczerpanie pamięci lub zablokowanie pętli zdarzeń przez kontrolowane przez atakującego dane wejściowe.
- CVE-2026-13149Wysokie
Podatność w bibliotece brace-expansion do wersji 5.0.6 umożliwia atak DoS poprzez przesłanie spreparowanego ciągu znaków z dużą liczbą grup klamrowych '{}'. Funkcja expand() ma złożoność wykładniczą, co prowadzi do znacznego obciążenia CPU i blokowania pętli zdarzeń.
- CVE-2026-45149Średnie
Biblioteka brace-expansion w wersjach od 5.0.0 do przed 5.0.6 ma wadę w implementacji opcji max. Przy rozwijaniu dużego zakresu liczbowego (np. {1..10000000}) generowane są wszystkie elementy pośrednie przed zastosowaniem limitu, co prowadzi do nadmiernego zużycia pamięci (ok. 505 MB) i czasu procesora (ok. 800 ms). Problem został naprawiony w wersji 5.0.6.
Oryginalny opis (angielski, źródło NVD)
brace-expansion through 5.0.7 is vulnerable to denial of service via memory exhaustion. The expand() function limits the number of results with a max option (default 100,000) but does not bound the length of each result string. By chaining multiple brace groups, an attacker keeps the result count under the limit while making each result progressively longer, so total memory scales with both count and string length until the process hits a fatal, uncatchable out-of-memory error. About 7.5 KB of input ('{a,b}'.repeat(1500)) crashes a default Node.js process. Any application that passes attacker-influenced strings to brace-expansion.expand() - directly or transitively via minimatch / glob brace patterns - can be crashed by a small request. Fixed in 5.0.8 by adding a maxLength option (default 4,000,000) that bounds accumulated output and intermediate arrays.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS