CVE-2026-93687 Desbordamiento de pila en braces hasta 3.0.3 por patrones profundamente anidados
braces hasta 3.0.3 contiene una vulnerabilidad de desbordamiento de pila en los recorridos recursivos del AST que carecen de límites de profundidad. Un atacante puede enviar patrones de llaves profundamente anidados por debajo del límite de caracteres para agotar la pila de llamadas y terminar el proceso de Node.js con un RangeError no capturado.
CVSS 3.1
- CVSS 4.08.7 · alta
- Probabilidad de explotación0,8 %
- Explotada activamenteNo confirmada
- Exploit públicoSí, 2
Afectados
micromatch braces
hasta 3.0.3
Qué hacer
- Verificá si usás braces y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Priorizá la corrección: hay código de explotación público.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
- BernydotJar/braces-security-backport MIT-licensed braces 3.0.3 with reviewed CVE-2026-93687 depth backport; pinned consumption only10 OCT · 10:55
- canmenzo/cve-2026-93687-braces Independent, measured check of CVE-2026-93687 (braces stack exhaustion): reproducible cold-process crash under the default 10000 maxLength, and what actually mitigates it.23 OCT · 04:45
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadAlta
CVSS 4.0 · 8.7 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
braces through 3.0.3 contains a stack overflow vulnerability in the recursive AST walkers that lack depth guards. Attackers can supply deeply nested brace patterns under the character limit to exhaust the call stack and terminate the Node.js process with an uncaught RangeError.
Referencias (7)
- github.com/micromatch/braces/issues/70
- github.com/micromatch/braces
- github.com/micromatch/braces/blob/3.0.3/lib/compile.js#L49-L53
- github.com/micromatch/braces/blob/3.0.3/lib/expand.js#L102-L105
- github.com/micromatch/braces/blob/3.0.3/lib/parse.js#L38-L40
- www.vulncheck.com/advisories/braces-through-3.0.3-stack-overflow-via-deeply-nested-patter…
- github.com/micromatch/braces/issues/73#issuecomment-5996574974
Historial (2)
- EXPLOIT PÚBLICOSe publicó BernydotJar/braces-security-backport.
- EXPLOIT PÚBLICOSe publicó canmenzo/cve-2026-93687-braces.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.