p PatchFirst

CVE-2026-73089

CVE-2026-73089 · Browserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Browserslist is a configuration tool for sharing target browsers and Node.js versions between front-end tools. Prior to 4.28.7, index.js retains every distinct `(queries, context)` result in cache and every parseQueries() AST in parseCache without a size cap, TTL, or eviction, allowing an attacker who can influence repeated browserslist() query values, including valid since `<year>-<month>-<day>` queries, to bypass the caller-controlled BROWSERSLIST_DISABLE_CACHE mitigation and cause linear memory growth followed by an out-of-memory process crash. This issue is fixed in version 4.28.7.

CVSS 7.5 · Alta · EPSS 0,7% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • browserslist

    Versiones
    • < 4.28.7: Afectada

    Sin corrección publicada

  • node-browserslist Debian:12

    Versiones
    • 4.21.10+~cs6.1.25-1
    • 4.21.10+~cs6.1.25-2
    • 4.21.4+~cs6.1.17-2
    • 4.22.1+~cs6.1.27-1
    • 4.22.1+~cs6.1.28-1
    • 4.23.0+~cs6.1.32-1
    • 4.24.4+~cs6.3.21-1
    • 4.24.4+~cs6.3.22-1
    • 4.25.0+~cs6.3.22-1
    • 4.25.2+~cs6.3.22-1
    • 4.26.0+~cs8.11.27-1
    • 4.27.0+~cs8.11.53-1
    • 4.27.0+~cs8.11.53-2
    • 4.28.1+~cs8.14.48-1
    • 4.28.2+~cs8.14.68-1
    • 4.28.7+~cs8.16.65-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-browserslist Debian:13

    Versiones
    • 4.25.0+~cs6.3.22-1
    • 4.25.2+~cs6.3.22-1
    • 4.26.0+~cs8.11.27-1
    • 4.27.0+~cs8.11.53-1
    • 4.27.0+~cs8.11.53-2
    • 4.28.1+~cs8.14.48-1
    • 4.28.2+~cs8.14.68-1
    • 4.28.7+~cs8.16.65-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-browserslist Debian:14

    Versiones
    • 4.25.0+~cs6.3.22-1
    • 4.25.2+~cs6.3.22-1
    • 4.26.0+~cs8.11.27-1
    • 4.27.0+~cs8.11.53-1
    • 4.27.0+~cs8.11.53-2
    • 4.28.1+~cs8.14.48-1
    • 4.28.2+~cs8.14.68-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.28.7+~cs8.16.65-1

    Actualiza a 4.28.7+~cs8.16.65-1

  • browserslist npm

    Intervalos de versiones afectados
    • SEMVER: < 4.28.7

    Actualiza a 4.28.7

  • node-browserslist Ubuntu:18.04:LTS

    Versiones
    • 2.11.3-1
    • 2.11.3-1build3
    • 2.11.3-1build4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-browserslist Ubuntu:20.04:LTS

    Versiones
    • 2.11.3-1build4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-browserslist Ubuntu:22.04:LTS

    Versiones
    • 4.16.3+~cs5.4.72-3
    • 4.17.0+~cs5.6.76-1
    • 4.18.1+~cs5.1.2-1
    • 4.19.1+~cs5.1.2-1
    • 4.19.1+repack+~cs5.1.2-2
    • 4.19.3+~cs5.1.3-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-browserslist Ubuntu:24.04:LTS

    Versiones
    • 4.21.4+~cs6.1.17-2
    • 4.22.1+~cs6.1.28-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-browserslist Ubuntu:26.04:LTS

    Versiones
    • 4.25.2+~cs6.3.22-1
    • 4.26.0+~cs8.11.27-1
    • 4.27.0+~cs8.11.53-2
    • 4.28.1+~cs8.14.48-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →