CVE-2026-102278
Açıklama
brace-expansion kütüphanesi, ortak bir ön ek ve son ek içeren rastgele dizgeler oluşturur. 1.1.20, 2.1.6, 3.0.8 ve 5.0.11 sürümlerinden önce, derinlemesine iç içe geçmiş süslü parantez grupları; virgülle ayrılmış üyeler ve tekli küme genişletme noktalarında expand_() fonksiyonunun her iç içe geçme seviyesi için özyineleme yapmasına neden olur. Bu durum, çıktı sınırları uygulanmadan önce yerel yığının tükenmesine yol açarak potansiyel olarak Node.js işlemini sonlandırabilir. expand_, iç içe geçmiş süslü parantez alternatifleri ve tek parçalı kümeler için kontrolsüz özyineleme gerçekleştirir. Güvenilmeyen bir desen olarak sağlanan derinlemesine iç içe geçmiş süslü parantez gruplarında expand_, expand ve virgülle ayrılmış üyeler ile tekli kümeler etkilenmektedir. İç içe alt genişletme sırasında yerel yığın tükenmesi, işlemi sonlandıran bir hizmet reddi (DoS) durumuna yol açar. Bu sorun 1.1.20, 2.1.6, 3.0.8 ve 5.0.11 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- brace-expansion5.0.11, 3.0.8, 2.1.6, 1.1.20 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| brace-expansionnpm | 4.0.0 ≤ v < 5.0.11, 3.0.0 ≤ v < 3.0.8, 2.0.0 ≤ v < 2.1.6, v < 1.1.20 | 5.0.11, 3.0.8, 2.1.6, 1.1.20 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.