CVE-2026-33672

إصدارات Picomatch الأقدم من 4.0.4

إصدارات Picomatch الأقدم من 3.0.2

إصدارات Picomatch الأقدم من 2.3.2

يحتوي Picomatch، وهو أداة مطابقة glob في JavaScript، على ثغرة تسمح لتعبيرات الأقواس POSIX المصممة خصيصًا، مثل [[:constructor:]]، بإدخال أسماء الطرق الموروثة في التعبيرات النمطية التي يتم إنشاؤها، وذلك بسبب وراثة الكائن POSIX REGEX SOURCE من Object.prototype. ويؤدي ذلك إلى مطابقة glob غير صحيحة، مما قد يتسبب في أخطاء منطقية ذات صلة بالأمان في التطبيقات التي تعتمد على مطابقة glob للتصفية أو التحقق من الصحة أو التحكم في الوصول. لا تسمح هذه المشكلة بتنفيذ التعليمات البرمجية عن بُعد. تؤثر هذه الثغرة الأمنية على مستخدمي إصدارات picomatch المعنية التي تعالج أنماط glob غير موثوق بها أو التي يتحكم فيها المستخدم.

يجب ترقية الإصدارات الأقدم من 4.0.4 إلى الإصدار 4.0.4 أو أحدث.

يجب ترقية الإصدارات الأقدم من 3.0.2 إلى الإصدار 3.0.2 أو أحدث.

يجب ترقية الإصدارات الأقدم من 2.3.2 إلى الإصدار 2.3.2 أو أحدث.

إذا لم تكن الترقية ممكنة على الفور، تجنب تمرير أنماط glob غير موثوق بها إلى Picomatch.

قم بتنقية أو رفض أنماط glob غير الموثوق بها، خاصة تلك التي تحتوي على فئات أحرف POSIX مثل [[:...:]].

تجنب استخدام تعبيرات الأقواس POSIX إذا كان الأمر يتعلق بمدخلات المستخدم.

قم بتصحيح المكتبة يدويًّا عن طريق تعديل POSIX REGEX SOURCE لاستخدام نموذج أولي فارغ.