CVE-2026-73089
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Browserslist to narzędzie konfiguracyjne do udostępniania docelowych przeglądarek i wersji Node.js. Przed wersją 4.28.7 cache przechowuje wszystkie wyniki bez limitu rozmiaru, co pozwala atakującemu na ominięcie zabezpieczenia BROWSERSLIST_DISABLE_CACHE i spowodowanie awarii procesu z powodu braku pamięci.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania pamięci i awarii aplikacji, co skutkuje przerwą w działaniu usług.
Rekomendacja
Zaktualizuj Browserslist do wersji 4.28.7 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Browserslist is a configuration tool for sharing target browsers and Node.js versions between front-end tools. Prior to 4.28.7, index.js retains every distinct `(queries, context)` result in cache and every parseQueries() AST in parseCache without a size cap, TTL, or eviction, allowing an attacker who can influence repeated browserslist() query values, including valid since `<year>-<month>-<day>` queries, to bypass the caller-controlled BROWSERSLIST_DISABLE_CACHE mitigation and cause linear memory growth followed by an out-of-memory process crash. This issue is fixed in version 4.28.7.