p PatchFirst

CVE-2026-45149

CVE-2026-45149 · brace-expansion: Large numeric range defeats documented `max` DoS protection

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

The brace-expansion library generates arbitrary strings containing a common prefix and suffix. From 5.0.0 to before 5.0.6, the max option was being applied too late. When expanding a single large numeric range like {1..10000000}, the sequence generation loop generates all 10 million intermediate elements before the max limit is applied With max=10, the output is correctly limited to 10 items, but the process still allocates ~505 MB and spends ~800ms building the full intermediate array. This vulnerability is fixed in 5.0.6.

CVSS 6.5 · Media · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • brace-expansion

    Versiones
    • >= 5.0.0, < 5.0.6: Afectada

    Sin corrección publicada

  • node-brace-expansion Debian:12

    Versiones
    • 2.0.1+~1.1.0-1
    • 2.0.1+~1.1.0-2
    • 2.0.1-2
    • 2.0.3+~1.1.2-1
    • 2.0.3+~1.1.2-2
    • 2.0.3+~1.1.2-3
    • 2.1.4+~1.1.2-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-brace-expansion Debian:13

    Versiones
    • 2.0.1+~1.1.0-2
    • 2.0.3+~1.1.2-1
    • 2.0.3+~1.1.2-2
    • 2.0.3+~1.1.2-3
    • 2.1.4+~1.1.2-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-brace-expansion Debian:14

    Versiones
    • 2.0.1+~1.1.0-2
    • 2.0.3+~1.1.2-1
    • 2.0.3+~1.1.2-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.0.3+~1.1.2-3

    Actualiza a 2.0.3+~1.1.2-3

  • brace-expansion npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 5.0.0, < 5.0.6

    Actualiza a 5.0.6

  • node-brace-expansion Ubuntu:18.04:LTS

    Versiones
    • 1.1.8-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-brace-expansion Ubuntu:20.04:LTS

    Versiones
    • 1.1.8-1
    • 1.1.11-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-brace-expansion Ubuntu:22.04:LTS

    Versiones
    • 2.0.0-1
    • 2.0.1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-brace-expansion Ubuntu:24.04:LTS

    Versiones
    • 2.0.1-2
    • 2.0.1+~1.1.0-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-brace-expansion Ubuntu:25.10

    Versiones
    • 2.0.1+~1.1.0-1
    • 2.0.1+~1.1.0-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-brace-expansion Ubuntu:26.10

    Versiones
    • 2.0.1+~1.1.0-2
    • 2.0.3+~1.1.2-2
    • 2.0.3+~1.1.2-3
    • 2.1.4+~1.1.2-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-brace-expansion Ubuntu:26.04:LTS

    Versiones
    • 2.0.1+~1.1.0-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →