CVE-2026-104150

Nome do Software Vulnerável e Versões Afetadas AdonisJS HTTP Server versões anteriores a 8.2.2 AdonisJS HTTP Server versões anteriores a 9.1.1

Description Existe uma Negação de Serviço por Expressão Regular (ReDoS) no correspondente de rota slug integrado. A expressão regular utilizada por router.matchers.slug() contém repetições gulosas adjacentes com classes de caracteres sobrepostas. Quando uma string longa terminando em um caractere rejeitado pela asserção final é aplicada a um parâmetro de rota controlado por um invasor, isso causa retrocesso quadrático e consumo excessivo de CPU. Como a correspondência de rota ocorre antes do middleware de rota e grupo, medidas de autenticação ou limitação de taxa podem não impedir que uma requisição não autenticada bloqueie o loop de eventos do Node.js, impedindo que o worker atenda a outras requisições ou verificações de integridade.

Recommendations Atualize para a versão 8.2.2 ou posterior. Atualize para a versão 9.1.1 ou posterior. Como solução temporária, evite usar o correspondente router.matchers.slug() em parâmetros de rota acessíveis por usuários não confiáveis.