CVE-2026-33672

Picomatch JavaScript dilində yazılmış bir glob uyğunlaşdırıcısıdır. 4.0.4, 3.0.2 və 2.3.2 versiyalarından əvvəlki versiyalar `POSIX_REGEX_SOURCE` obyektini təsir edən metod inyeksiyası zəifliyinə malikdir. Obyekt `Object.prototype`-dan törədiyi üçün, xüsusi hazırlanmış POSIX mötərizə ifadələri (məsələn, `[[:constructor:]]`) miras alınan metod adlarına istinad edə bilər. Bu metodlar implicit şəkildə sətirlərə çevrilir və yaradılan requlyar ifadəyə inyeksiya edilir. Bu, düzgün olmayan glob uyğunlaşdırma davranışına (bütövlüyə təsir) səbəb olur ki, burada patternlər gözlənilməyən fayl adları ilə uyğunlaşa bilər. Problem uzaqdan kodun icrasına imkan vermir, lakin filtrləmə, validasiya və ya giriş kontrolu üçün glob uyğunlaşdırmasına güvənən tətbiqlərdə təhlükəsizlik baxımından kritik məntiq xətalarına səbəb ola bilər. Etibarsız və ya istifadəçi tərəfindən idarə olunan glob patternlərini emal edən təsirlənmiş `picomatch` versiyalarının bütün istifadəçiləri potensial risk altındadır. Bu problem picomatch 4.0.4, 3.0.2 və 2.3.2 versiyalarında düzəldilmişdir. İstifadəçilər dəstəklənən reliz xəttindən asılı olaraq bu versiyalardan birinə və ya daha yenisinə keçid etməlidirlər. Əgər dərhal yeniləmə mümkün deyilsə, etibarsız glob patternlərinin picomatch-ə ötürülməsindən qaçınmaq lazımdır. Mümkün yüngülləşdirmə tədbirlərinə etibarsız glob patternlərinin, xüsusilə `[[:...:]]` kimi POSIX simvol siniflərini ehtiva edənlərin təmizlənməsi və ya rədd edilməsi; istifadəçi girişi olduqda POSIX mötərizə ifadələrindən istifadənin qarşısının alınması və kitabxananın `POSIX_REGEX_SOURCE`-u null prototiplə istifadə edəcək şəkildə əllə yamalanması daxildir.