CVE-2026-27904
Təsvir
minimatch, glob ifadələrini JavaScript RegExp obyektlərinə çevirmək üçün istifadə olunan minimal uyğunlaşdırma alətidir. Versiya 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5 və 3.1.4 versiyalarından əvvəl, iç-içə yazılmış `*()` extglob-ları daxili məhdudiyyətsiz kvantifikatorlara malik regexp-lər yaradır (məsələn, `(?:(?:a|b)*)*`), bu isə V8 mühitində katastrofik geri qayıtmağa (catastrophic backtracking) səbəb olur. 12 baytlıq `*(*(*(a|b)))` şablonu və 18 baytlıq uyğun gəlməyən giriş ilə `minimatch()` funksiyası 7 saniyədən çox dayanır. Bir dənə iç-içəlik səviyyəsinin və ya bir neçə giriş simvolunun əlavə edilməsi bu müddəti dəqiqələrlə ölçülən vaxta çatdırır. Bu, ən ciddi tapıntıdır: o, heç bir xüsusi seçim olmadan standart `minimatch()` API tərəfindən tetiklənir və minimum həyat qabiliyyətli şablon cəmi 12 baytdır. Eyni problem eynilə `+()` extglob-larına da təsir edir. Versiyalar 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5 və 3.1.4 bu problemi aradan qaldırır.
Necə düzəltmək olar
- minimatch_project minimatch3.1.4, 4.2.5, 5.1.8, 6.2.2, 7.4.8, 8.0.6, 9.0.7, 10.2.3 və ya daha yeni versiya
- minimatch10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5, 3.1.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| minimatch_project minimatch | v < 3.1.4, 4.0.0 ≤ v < 4.2.5, 5.0.0 ≤ v < 5.1.8, 6.0.0 ≤ v < 6.2.2, 7.0.0 ≤ v < 7.4.8, 8.0.0 ≤ v < 8.0.6, 9.0.0 ≤ v < 9.0.7, 10.0.0 ≤ v < 10.2.3 | 3.1.4, 4.2.5, 5.1.8, 6.2.2, 7.4.8, 8.0.6, 9.0.7, 10.2.3 |
| minimatchnpm | 10.0.0 ≤ v < 10.2.3, 9.0.0 ≤ v < 9.0.7, 8.0.0 ≤ v < 8.0.6, 7.0.0 ≤ v < 7.4.8, 6.0.0 ≤ v < 6.2.2, 5.0.0 ≤ v < 5.1.8, 4.0.0 ≤ v < 4.2.5, v < 3.1.4 | 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5, 3.1.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.