FICHE CVE

CVE-2026-11478

Publiée le 2026-06-08 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les applications utilisant la bibliothèque `tiny-regex-c` sont vulnérables à une attaque par déni de service via expressions régulières. Un attaquant authentifié disposant d'un accès local peut fournir une entrée spécialement conçue qui force le système à consommer des ressources CPU excessives, ce qui peut ralentir ou bloquer l'application. Comme l'exploit est public et ne nécessite aucune interaction de l'utilisateur, il est relativement facile à exécuter si l'attaquant possède déjà un compte local sur votre système.

CVSS 4.01.9 FAIBLE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-06-08

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A flaw has been found in kokke tiny-regex-c up to f2632c6d9ed25272987471cdb8b70395c2460bdb. This vulnerability affects the function matchstar of the file re.c of the component Pattern Handler. This manipulation causes inefficient regular expression complexity. The attack is restricted to local execution. The exploit has been published and may be used. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.