CVE-2026-67550

ŚrednieCVSS 5.7

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Biblioteka re2 dla Node.js przed wersją 1.25.2 waliduje lastIndex względem długości bajtów UTF-8 ciągu, ale używa go jako przesunięcia w jednostkach UTF-16 w funkcjach exec, test, match, replace i split. Pozwala to na odczyt poza zakresem sterty i nieuchwytne awaryjne zakończenie procesu, z ograniczonym ujawnieniem informacji ze sterty w niektórych przypadkach.

Ocena ryzyka

Organizacja narażona jest na awarie aplikacji Node.js używających re2 oraz potencjalny wyciek danych z pamięci sterty, co może prowadzić do naruszenia poufności i dostępności.

Rekomendacja

Zaktualizuj bibliotekę re2 do wersji 1.25.2 lub nowszej, która zawiera poprawkę prawidłowego użycia lastIndex.

Inne podatności w re2

CVE-2026-68499Średnie
Biblioteka re2 dla Node.js przed wersją 1.25.2 zawiera podatność w implementacji String.prototype.match z globalnym wzorcem RE2, który może dopasować pusty ciąg znaków. Funkcja nie przesuwa kursora dopasowania w lib/match.cc, co powoduje nieskończoną pętlę i nieograniczony wzrost pamięci natywnej, blokując pętlę zdarzeń i mogąc wyczerpać pamięć hosta.

Oryginalny opis (angielski, źródło NVD)

re2 provides Node.js bindings for Google's RE2 regular expression engine. Prior to 1.25.2, re2 validates lastIndex against the UTF-8 byte length of a subject but uses it as a UTF-16 code-unit offset in exec, test, match, replace, and split, allowing an attacker-influenced lastIndex on a non-ASCII subject to trigger an out-of-bounds heap read and an uncatchable process crash, with limited heap information disclosure in some cases. This issue is fixed in 1.25.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS