CVE-2026-4867

إصدارات path-to-regexp السابقة للإصدار 0.1.13

يتم إنشاء تعبير عادي معيب عند وجود ثلاثة معلمات أو أكثر داخل مقطع واحد، مفصولة بأحرف غير النقطة (.). على سبيل المثال، /:a-:b-:c أو /:a-:b-:c-:d. لا تعالج حماية التراجع (backtrack) التي تم تقديمها في path-to-regexp@0.1.12 الغموض إلا في حالة وجود معلمتين فقط. أما في حالة وجود ثلاث معلمات أو أكثر، فإن التعبير النمطي التطلعي الذي يتم إنشاؤه لا يمنع أحرف الفصل الفردية من التسبب في تداخل مجموعات الالتقاط، مما يؤدي إلى تراجع كارثي. لا تتأثر أنماط التعبيرات العادية المخصصة المُعرَّفة في تعريفات المسارات، مثل /:a-:b([^-/]+)-:c([^-/]+)، لأنها تتجاوز مجموعة الالتقاط الافتراضية.

قم بالترقية إلى الإصدار path-to-regexp@0.1.13.

كحل بديل، قم بتوفير تعبير عادي مخصص للمعلمات التي تلي المعلمة الأولى في مقطع واحد، مع التأكد من أنه لا يتطابق مع النص الذي يسبق المعلمة. على سبيل المثال، قم بتغيير /:a-:b-:c إلى /:a-:b([^-/]+)-:c([^-/]+).

إذا تعذر إعادة كتابة المسارات ولم يكن بالإمكان ترقية الإصدارات، فقم بتحديد طول عنوان URL.