Уязвимость CVE-2026-26996 - Документация Инкоманд

minimatch - это минимальная утилита соответствия для преобразования глобусных выражений в объекты JavaScript RegExp. Версии 10.2.0 и ниже уязвимы для обычного отказа в обслуживании Expression (ReDoS), когда глобусный рисунок содержит много последовательных * подстановочных знаков, за которыми следует буквальный символ, который не появляется в тестовой строке. Каждый * компилируется в отдельный [^/]*? Группа regex, и когда матч терпит неудачу, двигатель регекса V8 экспоненциально отступает во всех возможных расколах. Сложность времени — O(4^N) это, где N — это количество * символов. С N=15 один вызов minimatch() занимает ~ 2 секунды. С N=34 он эффективно висит вечно. Любое приложение, которое передает контролируемые пользователем строки minimatch(), поскольку аргумент шаблона уязвим для DoS. Эта проблема была исправлена в версии 10.2.1.

Данная уязвимость устранена в релизе Инкоманд 7.3.6.0 и 7.4.1.1