CVE-2026-112366

Les versions 4.0.7 et antérieures de Picomatch sont des bibliothèques utilisées dans les applications Node.js pour faire correspondre des chemins de fichiers à l'aide de modèles glob. La faille réside dans la manière dont le logiciel analyse certains modèles « extglob », tels que `+(*)` ou `+(*a)`. Lorsque ces modèles sont traités, le moteur entre dans un état de retour en arrière exponentiel (exponential backtracking), ce qui consomme la quasi-totalité des ressources CPU disponibles.

Un attaquant peut utiliser cela pour provoquer un déni de service complet en gelant la boucle d'événements de l'application, rendant ainsi le serveur insensible à tous les autres utilisateurs. Cette exploitation est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être déclenchée à distance via le réseau. Bien qu'elle ne compromette ni la confidentialité ni l'intégrité des données, elle met effectively le service hors ligne.