CVE-2026-33671

إصدارات Picomatch الأقدم من 4.0.4

إصدارات Picomatch الأقدم من 3.0.2

إصدارات Picomatch الأقدم من 2.3.2

Picomatch، وهو أداة مطابقة أنماط glob مكتوبة بلغة JavaScript، معرضة لخطر رفض الخدمة باستخدام التعبيرات العادية (ReDoS) عند معالجة أنماط extglob المصممة خصيصًا. يمكن تجميع أنماط محددة تستخدم محددات الكمية في extglob مثل +() و*()، خاصةً عند دمجها مع بدائل متداخلة أو أنماط extglob متداخلة، في تعبيرات عادية تُظهر تراجعًا كارثيًا عند وجود مدخلات غير متطابقة. التطبيقات التي تسمح للمستخدمين غير الموثوق بهم بتزويد picomatch بأنماط glob للتجميع أو المطابقة معرضة للخطر. يمكن للمهاجم أن يتسبب في استهلاك مفرط لوحدة المعالجة المركزية (CPU) ويعطل حلقة أحداث Node.js، مما يؤدي إلى رفض الخدمة. التطبيقات التي تستخدم فقط أنماط glob موثوقة وخاضعة لسيطرة المطورين أقل عرضة للتأثر.

الإصدارات الأقدم من 4.0.4: قم بالترقية إلى الإصدار 4.0.4 أو أحدث.

الإصدارات الأقدم من 3.0.2: قم بالترقية إلى الإصدار 3.0.2 أو أحدث.

الإصدارات الأقدم من 2.3.2: قم بالترقية إلى الإصدار 2.3.2 أو أحدث.

إذا لم يكن الترقية ممكنة على الفور، تجنب تمرير أنماط glob غير موثوق بها إلى picomatch.

قم بتعطيل دعم extglob للأنماط غير الموثوق بها باستخدام noextglob: true.

ارفض أو قم بتنقية الأنماط التي تحتوي على extglobs متداخلة أو محددات الكمية في extglob مثل +() و*().

فرض قوائم السماح الصارمة على صيغة الأنماط المقبولة.

قم بتشغيل عملية المطابقة في عامل معزول أو منفصل