CVE-2026-77299

Nome do Software Vulnerável e Versões Afetadas Regexp2 versões anteriores a 2.3.0

Descrição Quando o mecanismo compila e corresponde a um padrão contendo um quantificador de contagem fixa grande aplicado a uma subexpressão de largura zero, o mecanismo de correspondência executa o corpo de um loop vazio várias vezes, inserindo dois inteiros na pilha de backtracking a cada iteração. Como o analisador aceita contagens de repetição até math.MaxInt32 e a pilha de backtracking cresce sem limites, um padrão pequeno correspondido a uma entrada vazia pode forçar a alocação de vários gigabytes de memória, resultando no encerramento do processo por falta de memória (OOM-kill). O recurso MatchTimeout não mitiga totalmente isso porque a memória é alocada mais rapidamente do que o relógio de tempo limite de 100 ms pode disparar.

Recomendações Atualizar para a versão 2.3.0.