CVE-2026-26996

Nome do Software Vulnerável e Versões Afetadas minimatch versões 10.2.0 e anteriores

Descrição O software é suscetível a Negação de Serviço por Expressão Regular (ReDoS) ao processar padrões glob contendo numerosos curingas * consecutivos seguidos por um caractere literal ausente na string de entrada. Cada * é traduzido em um grupo de regex [^/]*? separado, causando backtracking exponencial no mecanismo de regex do V8 quando a correspondência falha. A complexidade de tempo aumenta para O(4^N), onde N representa o número de caracteres *. Uma única chamada a minimatch() pode levar aproximadamente 2 segundos com N=15 e travar efetivamente com N=34. Aplicações que utilizam strings fornecidas pelo usuário como argumentos de padrão para a função minimatch() são vulneráveis a Negação de Serviço.

Recomendações Atualize para a versão 10.2.1 ou posterior.