CVE-2026-112366
Vulnérabilité élevée dans picomatch (micromatch)
CVSS 8.7 · Élevée
micromatch•picomatch•Versions : <=4.0.7, 0
Description
Picomatch through 4.0.7 contains a regular expression denial of service vulnerability that allows attackers to block the event loop by supplying single-branch repeated extglob patterns. Attackers can provide globs like +(*) or +(*a), which analyzeRepeatedExtglob in lib/parse.js skips, causing exponential backtracking against short crafted strings and denying service to Node.js applications.
Gravité et risque d'exploitation
CVE-2026-112366 obtient un score CVSS de 8.7/10, soit une gravité élevée.
Que faire ?
- Vérifiez si picomatch (versions <=4.0.7, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.