CVE-2026-25547
Publiée le 2026-02-04 · Dernière modification le 2026-06-17
Les applications Node.js utilisant la bibliothèque `@isaacs/brace-expansion` sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut provoquer le plantage de votre serveur en envoyant une chaîne de caractères spécifiquement conçue contenant des plages d'accolades numériques, ce qui force le processus à consommer l'intégralité du processeur et de la mémoire disponibles. Cette attaque est facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur, si ce n'est la fourniture d'une chaîne d'entrée malveillante.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@isaacs/brace-expansion is a hybrid CJS/ESM TypeScript fork of brace-expansion. Prior to version 5.0.1, @isaacs/brace-expansion is vulnerable to a denial of service (DoS) issue caused by unbounded brace range expansion. When an attacker provides a pattern containing repeated numeric brace ranges, the library attempts to eagerly generate every possible combination synchronously. Because the expansion grows exponentially, even a small input can consume excessive CPU and memory and may crash the Node.js process. This issue has been patched in version 5.0.1.