CVE-2026-13149
CVE-2026-13149
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
brace-expansion through 5.0.6 is vulnerable to denial of service. The expand() function exhibits exponential-time complexity in the number of consecutive non-expanding '{}' brace groups. An attacker who passes a crafted string to expand(), directly or transitively, can cause significant CPU consumption and event-loop blocking. The max option does not mitigate this, as it bounds the output size rather than the recursion work.
CVSS 7.7 · Élevée · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
brace-expansion
- Versions du logiciel
- ≥ 0, ≤ 5.0.6: Concernée (semver)
Aucun correctif publié
node-brace-expansion Debian:12
- Versions du logiciel
- 2.0.1+~1.1.0-1
- 2.0.1+~1.1.0-2
- 2.0.1-2
- 2.0.3+~1.1.2-1
- 2.0.3+~1.1.2-2
- 2.0.3+~1.1.2-3
- 2.1.4+~1.1.2-1
- 2.1.7+~1.1.2-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-brace-expansion Debian:13
- Versions du logiciel
- 2.0.1+~1.1.0-2
- 2.0.3+~1.1.2-1
- 2.0.3+~1.1.2-2
- 2.0.3+~1.1.2-3
- 2.1.4+~1.1.2-1
- 2.1.7+~1.1.2-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-brace-expansion Debian:14
- Versions du logiciel
- 2.0.1+~1.1.0-2
- 2.0.3+~1.1.2-1
- 2.0.3+~1.1.2-2
- 2.0.3+~1.1.2-3
- 2.1.4+~1.1.2-1
- 2.1.7+~1.1.2-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
brace-expansion npm
- Plages de versions concernées
- SEMVER: ≥ 3.0.0, < 5.0.7
Mettez à jour vers 5.0.7
brace-expansion npm
- Plages de versions concernées
- SEMVER: < 1.1.16
Mettez à jour vers 1.1.16
brace-expansion npm
- Plages de versions concernées
- SEMVER: ≥ 2.0.0, < 2.1.2
Mettez à jour vers 2.1.2
node-brace-expansion Ubuntu:18.04:LTS
- Versions du logiciel
- 1.1.8-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-brace-expansion Ubuntu:20.04:LTS
- Versions du logiciel
- 1.1.8-1
- 1.1.11-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-brace-expansion Ubuntu:22.04:LTS
- Versions du logiciel
- 2.0.0-1
- 2.0.1-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-brace-expansion Ubuntu:24.04:LTS
- Versions du logiciel
- 2.0.1-2
- 2.0.1+~1.1.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-brace-expansion Ubuntu:25.10
- Versions du logiciel
- 2.0.1+~1.1.0-1
- 2.0.1+~1.1.0-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-brace-expansion Ubuntu:26.10
- Versions du logiciel
- 2.0.1+~1.1.0-2
- 2.0.3+~1.1.2-2
- 2.0.3+~1.1.2-3
- 2.1.4+~1.1.2-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-brace-expansion Ubuntu:26.04:LTS
- Versions du logiciel
- 2.0.1+~1.1.0-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié