p PatchFirst

CVE-2026-27904

CVE-2026-27904 · minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

minimatch is a minimal matching utility for converting glob expressions into JavaScript RegExp objects. Prior to version 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5, and 3.1.4, nested `*()` extglobs produce regexps with nested unbounded quantifiers (e.g. `(?:(?:a|b)*)*`), which exhibit catastrophic backtracking in V8. With a 12-byte pattern `*(*(*(a|b)))` and an 18-byte non-matching input, `minimatch()` stalls for over 7 seconds. Adding a single nesting level or a few input characters pushes this to minutes. This is the most severe finding: it is triggered by the default `minimatch()` API with no special options, and the minimum viable pattern is only 12 bytes. The same issue affects `+()` extglobs equally. Versions 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5, and 3.1.4 fix the issue.

CVSS 7.5 · Высокий · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • minimatch

    Версии
    • >= 10.0.0, < 10.2.3: Затронуто
    • >= 9.0.0, < 9.0.7: Затронуто
    • >= 8.0.0, < 8.0.6: Затронуто
    • >= 7.0.0, < 7.4.8: Затронуто
    • >= 6.0.0, < 6.2.2: Затронуто
    • >= 5.0.0, < 5.1.8: Затронуто
    • >= 4.0.0, < 4.2.5: Затронуто
    • < 3.1.4: Затронуто

    Нет опубликованного исправления

  • node-minimatch Debian:12

    Версии
    • 5.1.1+~5.1.2-1
    • 9.0.3-1
    • 9.0.3-2
    • 9.0.3-3
    • 9.0.3-4
    • 9.0.3-5
    • 9.0.3-6
    • 9.0.7-1
    • 9.0.7-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Debian:13

    Версии
    • 9.0.3-6
    • 9.0.7-1
    • 9.0.7-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Debian:14

    Версии
    • 9.0.3-6
    Затронутые диапазоны версий
    • ECOSYSTEM: < 9.0.7-1

    Обновитесь до 9.0.7-1

  • minimatch npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 10.0.0, < 10.2.3

    Обновитесь до 10.2.3

  • minimatch npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 9.0.0, < 9.0.7

    Обновитесь до 9.0.7

  • minimatch npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 8.0.0, < 8.0.6

    Обновитесь до 8.0.6

  • minimatch npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 7.0.0, < 7.4.8

    Обновитесь до 7.4.8

  • minimatch npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.0.0, < 6.2.2

    Обновитесь до 6.2.2

  • minimatch npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 5.0.0, < 5.1.8

    Обновитесь до 5.1.8

  • minimatch npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.2.5

    Обновитесь до 4.2.5

  • minimatch npm

    Затронутые диапазоны версий
    • SEMVER: < 3.1.4

    Обновитесь до 3.1.4

  • node-minimatch Ubuntu:Pro:14.04:LTS

    Версии
    • 0.2.11-1
    • 0.2.12-1
    • 0.2.12-1ubuntu0.1~esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Ubuntu:Pro:16.04:LTS

    Версии
    • 1.0.0-1
    • 1.0.0-1ubuntu0.1~esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Ubuntu:18.04:LTS

    Версии
    • 3.0.4-1
    • 3.0.4-3
    • 3.0.4-3+deb10u1build0.18.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Ubuntu:20.04:LTS

    Версии
    • 3.0.4-3
    • 3.0.4-4
    • 3.0.4-4ubuntu0.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Ubuntu:22.04:LTS

    Версии
    • 3.0.4+~3.0.3-1
    • 3.0.4+~3.0.5-1
    • 3.1.1+~3.0.5-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Ubuntu:24.04:LTS

    Версии
    • 5.1.1+~5.1.2-1
    • 9.0.3-4build5
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Ubuntu:25.10

    Версии
    • 9.0.3-5
    • 9.0.3-6
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Ubuntu:26.10

    Версии
    • 9.0.3-6
    • 9.0.7-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-minimatch Ubuntu:26.04:LTS

    Версии
    • 9.0.3-6
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →