Alta

ReDoS in brace-expansion

Publicada: 29.01.2018
Actualizado: 11.10.2026 10:22

Affected versions of brace-expansion are vulnerable to a regular expression denial of service condition.

Proof of Concept

var expand = require('brace-expansion');
expand('{,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,\n}');

Recommendation

Update to version 1.1.7 or later.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	brace-expansion	< 1.1.7	1.1.7

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad (CWE): CWE-1333
Plataforma: npm
Paquete: brace-expansion
Publicada: 29.01.2018
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-832h-xg76-4gv6 - CC BY 4.0

Historial de vulnerabilidades: brace-expansion

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (10) en el archivo

Entradas en total: 10
Primera → última: 01.2018 09.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 6
Media 3
Baja 1

Divulgaciones por año

2018: 1
2019: 0
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 1
2026: 8

29.09.2026

brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion

Alta · 7.5 CVE-2026-102278 >= 4.0.0, < 5.0.11, >= 3.0.0, < 3.0.8, >= 2.0.0, < 2.1.6, < 1.1.20 5.0.11, 3.0.8, 2.1.6, 1.1.20
29.09.2026

brace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion

Alta · 7.5 CVE-2026-102276 >= 4.0.0, < 5.0.10, >= 3.0.0, < 3.0.7, >= 2.0.0, < 2.1.5, < 1.1.19 5.0.10, 3.0.7, 2.1.5, 1.1.19
03.08.2026

brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation

Alta · 7.5 CVE-2026-69152 < 1.1.18, >= 2.0.0, < 2.1.4, >= 3.0.0, < 3.0.6, >= 4.0.0, < 5.0.9 1.1.18, 2.1.4, 3.0.6, 5.0.9
24.07.2026

brace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash

Alta · 7.5 CVE-2026-14257 >= 4.0.0, < 5.0.8, >= 3.0.0, < 3.0.3, >= 2.0.0, < 2.1.3, < 1.1.17 5.0.8, 3.0.3, 2.1.3, 1.1.17
20.07.2026

brace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups

Alta · 5.3 CVE-2026-13149 >= 3.0.0, < 5.0.7, < 1.1.16, >= 2.0.0, < 2.1.2 5.0.7, 1.1.16, 2.1.2
29.01.2018

ReDoS in brace-expansion esta entrada

Alta · 7.5 CVE-2017-18077 < 1.1.7 1.1.7

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación