תיאור (מקור, אנגלית)
braces through 3.0.3 contains a stack overflow vulnerability in the recursive AST walkers that lack depth guards. Attackers can supply deeply nested brace patterns under the character limit to exhaust the call stack and terminate the Node.js process with an uncaught RangeError.
קישורים8
- github.com/micromatch/braces
- github.com/micromatch/braces/blob/3.0.3/lib/compile.js#L49-L53
- github.com/micromatch/braces/blob/3.0.3/lib/expand.js#L102-L105
- github.com/micromatch/braces/blob/3.0.3/lib/parse.js#L38-L40
- github.com/micromatch/braces/issues/70
- www.vulncheck.com/advisories/braces-through-3.0.3-stack-overfl…
- github.com/advisories/ghsa-vfj7-8cjw-p6xm
- github.com/micromatch/braces/issues/73#issuecomment-5996574974
מדדים
- CVSS 3.1
-
7.5
HIGH
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - CVSS 4.0
-
8.7
HIGH
מקור הציון: CNA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X - EPSS — סבירות ניצול
- 1% אחוזון 56 · נכון ל-8 בנובמבר 2026
- CWE
- CWE-674
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.