CVE-2026-71498

ŚrednieCVSS 5.1

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

node-re2 zapewnia wiązania RE2 dla Node.js. Przed wersją 1.26.1 przekazanie bufora, którego końcowe bajty tworzą skróconą (niekompletną) wielobajtową sekwencję UTF-8, mogło spowodować odczyt poza końcem przydzielonego bufora podczas próby zdekodowania ostatniego, niekompletnego punktu kodowego. Może to prowadzić do odczytu poza zakresem i potencjalnego ujawnienia sąsiednich fragmentów pamięci. Problem naprawiono w wersji 1.26.1.

Ocena ryzyka

Ryzyko dla organizacji to możliwość ujawnienia wrażliwych danych z pamięci procesu, co może prowadzić do wycieku informacji lub dalszych ataków.

Rekomendacja

Zaleca się zaktualizowanie biblioteki node-re2 do wersji 1.26.1 lub nowszej, która zawiera poprawkę tej podatności, oraz unikanie przekazywania niekompletnych sekwencji UTF-8 do funkcji biblioteki.

Inne podatności w node-re2

CVE-2026-71430Średnie
W node-re2 przed wersją 1.25.1 funkcja WrappedRE2::Replace używa ToLocalChecked bez sprawdzenia, czy wynik nie przekracza maksymalnej długości stringa V8. Przy globalnym zastępowaniu z szablonem amplifikującym wynik może rosnąć kwadratowo i po przekroczeniu limitu powoduje nieuchwytny awaryjny abort procesu.

Oryginalny opis (angielski, źródło NVD)

node-re2 provides RE2 regular expression bindings for Node.js. Prior to version 1.26.1, passing a Buffer whose final bytes form a truncated (incomplete) multi-byte UTF-8 sequence could cause the native binding to read past the end of the allocated buffer while attempting to decode the final, incomplete code point. This could result in an out-of-bounds read and potential disclosure of adjacent memory contents. This issue is fixed in version 1.26.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS