CVE-2026-13149
CVE-2026-13149
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
brace-expansion through 5.0.6 is vulnerable to denial of service. The expand() function exhibits exponential-time complexity in the number of consecutive non-expanding '{}' brace groups. An attacker who passes a crafted string to expand(), directly or transitively, can cause significant CPU consumption and event-loop blocking. The max option does not mitigate this, as it bounds the output size rather than the recursion work.
CVSS 7.7 · Alta · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · node
Productos y versiones afectados
brace-expansion
- Versiones
- ≥ 0, ≤ 5.0.6: Afectada (semver)
Sin corrección publicada
node-brace-expansion Debian:12
- Versiones
- 2.0.1+~1.1.0-1
- 2.0.1+~1.1.0-2
- 2.0.1-2
- 2.0.3+~1.1.2-1
- 2.0.3+~1.1.2-2
- 2.0.3+~1.1.2-3
- 2.1.4+~1.1.2-1
- 2.1.7+~1.1.2-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-brace-expansion Debian:13
- Versiones
- 2.0.1+~1.1.0-2
- 2.0.3+~1.1.2-1
- 2.0.3+~1.1.2-2
- 2.0.3+~1.1.2-3
- 2.1.4+~1.1.2-1
- 2.1.7+~1.1.2-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-brace-expansion Debian:14
- Versiones
- 2.0.1+~1.1.0-2
- 2.0.3+~1.1.2-1
- 2.0.3+~1.1.2-2
- 2.0.3+~1.1.2-3
- 2.1.4+~1.1.2-1
- 2.1.7+~1.1.2-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
brace-expansion npm
- Intervalos de versiones afectados
- SEMVER: ≥ 3.0.0, < 5.0.7
Actualiza a 5.0.7
brace-expansion npm
- Intervalos de versiones afectados
- SEMVER: < 1.1.16
Actualiza a 1.1.16
brace-expansion npm
- Intervalos de versiones afectados
- SEMVER: ≥ 2.0.0, < 2.1.2
Actualiza a 2.1.2
node-brace-expansion Ubuntu:18.04:LTS
- Versiones
- 1.1.8-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-brace-expansion Ubuntu:20.04:LTS
- Versiones
- 1.1.8-1
- 1.1.11-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-brace-expansion Ubuntu:22.04:LTS
- Versiones
- 2.0.0-1
- 2.0.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-brace-expansion Ubuntu:24.04:LTS
- Versiones
- 2.0.1-2
- 2.0.1+~1.1.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-brace-expansion Ubuntu:25.10
- Versiones
- 2.0.1+~1.1.0-1
- 2.0.1+~1.1.0-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-brace-expansion Ubuntu:26.10
- Versiones
- 2.0.1+~1.1.0-2
- 2.0.3+~1.1.2-2
- 2.0.3+~1.1.2-3
- 2.1.4+~1.1.2-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-brace-expansion Ubuntu:26.04:LTS
- Versiones
- 2.0.1+~1.1.0-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada