p PatchFirst

CVE-2026-112366

CVE-2026-112366 · Picomatch through 4.0.7 ReDoS via single-branch repeated extglob patterns

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Picomatch through 4.0.7 contains a regular expression denial of service vulnerability that allows attackers to block the event loop by supplying single-branch repeated extglob patterns. Attackers can provide globs like +(*) or +(*a), which analyzeRepeatedExtglob in lib/parse.js skips, causing exponential backtracking against short crafted strings and denying service to Node.js applications.

CVSS 8.7 · Élevée · EPSS 0,3%

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • picomatch

    Versions du logiciel
    • ≥ 0, ≤ 4.0.7: Concernée (semver)

    Aucun correctif publié

  • node-anymatch Debian:12

    Versions du logiciel
    • 3.1.3+~cs4.6.1-2
    • 3.1.3+~cs8.0.5-1
    • 3.1.3+~cs8.0.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-anymatch Debian:13

    Versions du logiciel
    • 3.1.3+~cs4.6.1-2
    • 3.1.3+~cs8.0.5-1
    • 3.1.3+~cs8.0.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-anymatch Debian:14

    Versions du logiciel
    • 3.1.3+~cs4.6.1-2
    • 3.1.3+~cs8.0.5-1
    • 3.1.3+~cs8.0.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-anymatch Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.3.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-anymatch Ubuntu:20.04:LTS

    Versions du logiciel
    • 3.0.3+~2.0.7-3
    • 3.1.1+~2.1.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-anymatch Ubuntu:22.04:LTS

    Versions du logiciel
    • 3.1.1+~2.2.2-1
    • 3.1.2+~cs4.5.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-anymatch Ubuntu:24.04:LTS

    Versions du logiciel
    • 3.1.3+~cs4.6.1-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-anymatch Ubuntu:26.10

    Versions du logiciel
    • 3.1.3+~cs8.0.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-anymatch Ubuntu:26.04:LTS

    Versions du logiciel
    • 3.1.3+~cs4.6.1-2
    • 3.1.3+~cs8.0.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →