CVE-2026-25547: @isaacs/brace-expansion: negação de serviço por expansão ilimitada de intervalos de chaves
A CVE-2026-25547 afeta a biblioteca @isaacs/brace-expansion em versões anteriores à 5.0.1. Intervalos numéricos repetidos em padrões de chaves fazem a biblioteca gerar, de forma síncrona, todas as combinações possíveis, o que pode esgotar CPU e memória e derrubar um processo Node.js. A correção está na versão 5.0.1, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-25547 é uma falha de negação de serviço no @isaacs/brace-expansion, um fork híbrido CJS/ESM, em TypeScript, do brace-expansion. Segundo o registro, as versões anteriores à 5.0.1 são afetadas, e o problema foi corrigido na 5.0.1. A fraqueza é classificada como CWE-1333, complexidade ineficiente de expressões regulares.
Impacto
- Intervalos numéricos de chaves são expandidos de forma antecipada e síncrona, e a saída cresce exponencialmente quando os intervalos se repetem.
- Uma entrada pequena pode consumir CPU e memória em excesso.
- O processo Node.js pode travar, interrompendo qualquer serviço que dependa da biblioteca para processar padrões não confiáveis.
A pontuação base CVSS 4.0 informada pelo CNA é 9,2 (crítica). O vetor indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio, nenhuma interação do usuário e alto impacto na disponibilidade do sistema vulnerável e dos sistemas subsequentes, sem impacto em confidencialidade ou integridade.
Produtos e versões afetadas
- Produto: @isaacs/brace-expansion (fork do brace-expansion).
- Afetado: versões anteriores à 5.0.1.
- O registro não informa o limite inferior da faixa afetada, portanto a versão vulnerável mais antiga é desconhecida.
- O registro não traz listas estruturadas de versões afetadas ou corrigidas; a versão corrigida vem do texto da descrição.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro não traz pontuação EPSS.
Correção e mitigação
- Atualize o @isaacs/brace-expansion para a versão 5.0.1 ou superior, conforme informado no registro.
- Identifique dependências transitivas nos arquivos de lock e no inventário de software (SBOM), já que a biblioteca pode estar incluída indiretamente.
- Quando a atualização não puder ser feita de imediato, valide ou limite o tamanho e a estrutura dos padrões de chaves vindos de fontes não confiáveis.
- Execute serviços Node.js sob supervisão de processos, com limites de memória e CPU, para que uma falha seja contida e recuperada.
Consulte o aviso de segurança do GitHub para a descrição do fornecedor.
Orientações de detecção
- Monitore picos repentinos de CPU ou memória e reinícios inesperados de processos Node.js que tratam padrões fornecidos por usuários.
- Revise os inventários de dependências em busca de instalações de @isaacs/brace-expansion abaixo da 5.0.1.
Limitações das informações disponíveis
- O registro não tem faixa estruturada de versões afetadas, lista de versões corrigidas, dados KEV, EPSS ou SSVC.
- O limite inferior da faixa vulnerável é desconhecido.
- O registro não tem título, então o título desta análise foi derivado da descrição.
- Não havia detalhes além da descrição e do link do aviso do GitHub no registro.
Perguntas frequentes
O que a CVE-2026-25547 afeta?
Segundo o registro, o @isaacs/brace-expansion em versões anteriores à 5.0.1 é afetado por uma negação de serviço causada por expansão ilimitada de intervalos de chaves.
Qual versão corrige o problema?
O registro informa que o problema foi corrigido na versão 5.0.1. A principal medida é atualizar para essa versão ou superior.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.