PT-2026-67449
CVE-2026-69152
·
تاريخ النشر
2026-08-03
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات brace-expansion الأقدم من 1.1.18
إصدارات brace-expansion الأقدم من 2.1.4
إصدارات brace-expansion الأقدم من 3.0.6
إصدارات brace-expansion الأقدم من 5.0.9
الوصف
توجد مشكلة تتمثل في فشل الدالة
expand() في تطبيق حد maxLength بشكل صحيح عند إنشاء مصفوفات وسيطة بديلة للفاصلة أو تسلسلات مملوءة. وهذا يسمح للمدخلات التي يتحكم فيها المهاجم بالتسبب في استنفاد الذاكرة، مما يؤدي إلى خطأ ”نفاد الذاكرة“ الذي لا يمكن اكتشافه ويؤدي إلى تعطل عملية Node، أو إلى حظر حلقة الأحداث، مما يتسبب في رفض الخدمة. يحدث استنفاد الذاكرة لأن البدائل في توسيع الأقواس يتم توسيعها بشكل مستقل، مما يسمح للحجم التراكمي للنتائج بتجاوز حد الـ heap قبل حدوث الاقتطاع. بالإضافة إلى ذلك، تتجاهل التسلسلات المملوءة حد maxLength أثناء الإنشاء، مما يؤدي إلى استخدام مفرط لوحدة المعالجة المركزية (CPU) يتناسب مع عرض التسلسل وعدد عناصره.التوصيات
قم بتحديث brace-expansion إلى الإصدار 1.1.18 أو أحدث.
قم بتحديث brace-expansion إلى الإصدار 2.1.4 أو أحدث.
قم بتحديث brace-expansion إلى الإصدار 3.0.6 أو أحدث.
قم بتحديث brace-expansion إلى الإصدار 5.0.9 أو أحدث.
كحل مؤقت، تجنب تمرير مدخلات غير موثوق بها إلى الدالة
expand() أو إلى أنماط الأقواس العامة (glob)، أو قم بتحديد قيم صغيرة صراحةً لـ max وmaxLength. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾