CVE-2026-33671

Picomatch JavaScript dilində yazılmış bir glob uyğunlaşdırıcısıdır. 4.0.4, 3.0.2 və 2.3.2 versiyalarından əvvəlki versiyalar, xüsusi hazırlanmış extglob şablonlarını emal edərkən Müntəzəm İfadələrlə Xidmətdən İmtina (ReDoS) zəifliyinə malikdir. `+()` və `*()` kimi extglob kvantifikatorlarından istifadə edən müəyyən şablonlar, xüsusilə üst-üstə düşən alternativlər və ya iç-içə keçmiş extgloblarla birləşdirildikdə, uyğun gəlməyən giriş məlumatlarında katastrofik geri qayıtma (catastrophic backtracking) nümayiş etdirə bilən müntəzəm ifadelərə kompilyasiya olunur. Tətbiqlər, etibarsız istifadəçilərin kompilyasiya və ya uyğunlaşdırma üçün `picomatch`-ə ötürülən glob şablonları təqdim etməsinə icazə verdikdə risk altında olur. Bu hallarda hücumçu həddindən artıq CPU istehlakına səbəb ola və Node.js hadisə dövrünü (event loop) bloklaya bilər ki, bu da xidmətdən imtinaya gətirib çıxarır. Yalnız etibarlı, tərtibatçı tərəfindən idarə olunan glob şablonlarından istifadə edən tətbiqlərin təhlükəsizlik baxımından riskə məruz qalma ehtimalı daha azdır. Bu problem picomatch 4.0.4, 3.0.2 və 2.3.2 versiyalarında düzəldilmişdir. İstifadəçilər dəstəklənən buraxılış xəttindən asılı olaraq bu versiyalardan birinə və ya daha yenisinə yüksəltmə etməlidirlər. Əgər dərhal yüksəltmə etmək mümkün deyilsə, etibarsız glob şablonlarının `picomatch`-ə ötürülməsindən qaçınmaq lazımdır. Mümkün yüngülləşdirmə tədbirlərinə `noextglob: true` istifadə edərək etibarsız şablonlar üçün extglob dəstəyinin söndürülməsi, iç-içə keçmiş extgloblar və ya `+()` və `*()` kimi extglob kvantifikatorları olan şablonların rədd edilməsi və ya təmizlənməsi, qəbul edilən şablon sintaksisi üçün ciddi icazə siyahılarının (allowlist) tətbiqi, uyğunlaşdırmanın vaxt və resurs limitləri ilə izolyasiya edilmiş işçi (worker) və ya ayrıca prosesdə icra edilməsi, habelə glob şablonlarını qəbul edən hər hansı son nöqtə (endpoint) üçün tətbiq səviyyəsində sorğu məhdudiyyətlərinin (throttling) və giriş validasiyasının tətbiqi daxildir.