CVE-2026-112366

Nome do Software Vulnerável e Versões Afetadas Picomatch versões anteriores a 4.0.8

Descrição Ocorre uma negação de serviço por expressão regular (ReDoS) ao analisar padrões extglob repetidos de ramo único, como +(*) ou +(*a). A função analyzeRepeatedExtglob() em lib/parse.js não processa esses padrões corretamente, causando backtracking exponencial ao processar strings curtas manipuladas. Esse comportamento bloqueia o loop de eventos do Node.js, resultando em uma negação de serviço no nível da aplicação para serviços que compilam ou utilizam globs controlados por atacantes.

Recomendações Atualize para a versão 4.0.8 ou posterior.