CVE-2026-87722

Nome do Software Vulnerável e Versões Afetadas Gerrit Code Review versões 2.1.6 through 3.12.9 Gerrit Code Review versões 3.13.0 through 3.13.8 Gerrit Code Review versões 3.14.0 through 3.14.2

Description Ocorre consumo descontrolado de recursos em predicados de consulta de pesquisa regex, incluindo RegexProjectPredicate, RegexRefPredicate e RegexPathPredicate, bem como nos endpoints de filtro regex REST '/projects/?r=' e '/projects/{project}/branches/?r='. Um invasor remoto não autenticado ou um usuário autenticado pode causar a negação de serviço, resultando em exaustão de CPU e exaustão de heap da JVM (OutOfMemoryError), ao enviar consultas de pesquisa ou requisições de API REST manipuladas. O problema ocorre porque as expressões regulares fornecidas pelo usuário são compiladas em uma instância dk.brics.automaton ilimitada através da função new RegExp(re).toAutomaton() na thread de requisição antes da avaliação do índice ou filtragem de controle de acesso. Isso permite que expressões regulares com padrões de determinização DFA exponenciais ou repetições contadas extensas esgotem a heap da JVM ou travem as threads de requisição.

Recommendations Atualizar Gerrit Code Review versões 2.1.6 through 3.12.9 para a versão 3.12.10. Atualizar Gerrit Code Review versões 3.13.0 through 3.13.8 para a versão 3.13.9. Atualizar Gerrit Code Review versões 3.14.0 through 3.14.2 para a versão 3.14.3.