CVE-2026-68499

ŚrednieCVSS 6.2

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Biblioteka re2 dla Node.js przed wersją 1.25.2 zawiera podatność w implementacji String.prototype.match z globalnym wzorcem RE2, który może dopasować pusty ciąg znaków. Funkcja nie przesuwa kursora dopasowania w lib/match.cc, co powoduje nieskończoną pętlę i nieograniczony wzrost pamięci natywnej, blokując pętlę zdarzeń i mogąc wyczerpać pamięć hosta.

Ocena ryzyka

Organizacja narażona jest na atak typu Denial of Service (DoS) na aplikacje Node.js używające re2, co może spowodować niedostępność usług i utratę danych.

Rekomendacja

Zaktualizuj bibliotekę re2 do wersji 1.25.2 lub nowszej, która zawiera poprawkę zapobiegającą nieskończonej pętli.

Inne podatności w re2

CVE-2026-67550Średnie
Biblioteka re2 dla Node.js przed wersją 1.25.2 waliduje lastIndex względem długości bajtów UTF-8 ciągu, ale używa go jako przesunięcia w jednostkach UTF-16 w funkcjach exec, test, match, replace i split. Pozwala to na odczyt poza zakresem sterty i nieuchwytne awaryjne zakończenie procesu, z ograniczonym ujawnieniem informacji ze sterty w niektórych przypadkach.

Oryginalny opis (angielski, źródło NVD)

re2 provides Node.js bindings for Google's RE2 regular expression engine. Prior to 1.25.2, re2's String.prototype.match implementation with a global RE2 pattern that can match the empty string fails to advance its native matching cursor in lib/match.cc, causing an infinite loop and unbounded native memory growth that blocks the event loop and can exhaust host memory. This issue is fixed in 1.25.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS