p PatchFirst

CVE-2026-9496

CVE-2026-9496

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Versions of the package pacote from 11.2.7 and before 21.5.1 are vulnerable to Denial of Service (DoS) via the addGitSha function. An attacker can exploit this vulnerability by supplying a specially crafted spec.rawSpec value that triggers the function’s regex replacement and string-manipulation logic, causing excessive CPU consumption and potentially stalling or crashing the process.

CVSS 8.7 · Высокий · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • pacote

    Версии
    • ≥ 11.2.7, < 21.5.1: Затронуто (semver)

    Обновитесь до 21.5.1

  • org.webjars.npm:pacote

    Версии
    • ≥ 11.2.7: Затронуто (semver)

    Нет опубликованного исправления

  • npm Debian:12

    Версии
    • 11.12.1~ds1-1
    • 11.12.1~ds1-2
    • 11.12.1~ds1-3
    • 11.12.1~ds1-4
    • 11.13.0~ds1-1
    • 11.16.0+ds2-1
    • 11.16.0+ds2-2
    • 11.16.0+ds2-3
    • 11.16.0+ds2-4
    • 11.19.0+ds1-1
    • 11.19.0+ds1-2
    • 11.19.0-1
    • 12.0.2+ds1-1
    • 12.0.2+ds1-2
    • 9.2.0~ds1-1
    • 9.2.0~ds1-2
    • 9.2.0~ds1-3
    • 9.2.0~ds1-4
    • 9.2.0~ds2-1
    • 9.2.0~ds2-2
    • 9.2.0~ds3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Debian:13

    Версии
    • 11.12.1~ds1-1
    • 11.12.1~ds1-2
    • 11.12.1~ds1-3
    • 11.12.1~ds1-4
    • 11.13.0~ds1-1
    • 11.16.0+ds2-1
    • 11.16.0+ds2-2
    • 11.16.0+ds2-3
    • 11.16.0+ds2-4
    • 11.19.0+ds1-1
    • 11.19.0+ds1-2
    • 11.19.0-1
    • 12.0.2+ds1-1
    • 12.0.2+ds1-2
    • 9.2.0~ds1-3
    • 9.2.0~ds1-4
    • 9.2.0~ds2-1
    • 9.2.0~ds2-2
    • 9.2.0~ds3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Debian:14

    Версии
    • 11.12.1~ds1-1
    • 11.12.1~ds1-2
    • 11.12.1~ds1-3
    • 11.12.1~ds1-4
    • 11.13.0~ds1-1
    • 11.16.0+ds2-1
    • 11.16.0+ds2-2
    • 11.16.0+ds2-3
    • 11.16.0+ds2-4
    • 11.19.0+ds1-1
    • 11.19.0+ds1-2
    • 11.19.0-1
    • 9.2.0~ds1-3
    • 9.2.0~ds1-4
    • 9.2.0~ds2-1
    • 9.2.0~ds2-2
    • 9.2.0~ds3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 12.0.2+ds1-1

    Обновитесь до 12.0.2+ds1-1

  • pacote npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 11.2.7, < 21.5.1

    Обновитесь до 21.5.1

  • npm Ubuntu:14.04:LTS

    Версии
    • 1.2.18~dfsg-3
    • 1.3.10~dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Ubuntu:Pro:16.04:LTS

    Версии
    • 1.4.21+ds-2
    • 3.5.2-0ubuntu4
    • 3.5.2-0ubuntu4.1.16.04.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Ubuntu:Pro:18.04:LTS

    Версии
    • 3.5.2-0ubuntu4
    • 3.5.2-0ubuntu4.1.18.04.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Ubuntu:20.04:LTS

    Версии
    • 5.8.0+ds6-4
    • 6.14.4+ds-1ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Ubuntu:22.04:LTS

    Версии
    • 7.5.2+ds-2
    • 7.24.2+ds-1
    • 7.24.2+ds-2
    • 8.3.0~ds-1
    • 8.3.0~ds-2
    • 8.3.2~ds-1
    • 8.5.0~ds-1
    • 8.5.1~ds-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Ubuntu:24.04:LTS

    Версии
    • 9.2.0~ds1-1
    • 9.2.0~ds1-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Ubuntu:25.10

    Версии
    • 9.2.0~ds1-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Ubuntu:26.10

    Версии
    • 9.2.0~ds3-1
    • 11.16.0+ds2-4
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • npm Ubuntu:26.04:LTS

    Версии
    • 9.2.0~ds1-3
    • 9.2.0~ds2-2
    • 9.2.0~ds3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →