JVNDB-2026-004470

minimatch projectのminimatchにおける非効率的な正規表現の複雑さに関する脆弱性

minimatchは、グロブ式をJavaScriptの正規表現オブジェクトに変換するための最小限のマッチングユーティリティです。バージョン10.2.0およびそれ以下のバージョンは、多数の連続した*ワイルドカードの後にテスト文字列に現れないリテラル文字が続くグロブパターンを含む場合に、正規表現によるサービス拒否（ReDoS）に対して脆弱でした。各*は個別の[^/]*?正規表現グループにコンパイルされ、マッチが失敗すると、V8の正規表現エンジンがすべての可能な分割にわたり指数関数的にバックトラックします。時間計算量はNが*文字の数のときO(4^N)となります。N=15の場合、単一のminimatch()呼び出しに約2秒かかります。N=34の場合は、実質的に永久にハングします。ユーザーが制御する文字列をminimatch()のパターン引数に渡すアプリケーションは、DoSに対して脆弱な状態にあります。この問題はバージョン10.2.1で修正されました。

minimatch project

• minimatch 10.2.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : ReDoS via repeated wildcards with non-matching literal in pattern  Advisory  isaacs/minimatch  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-26996

1. National Vulnerability Database (NVD) : CVE-2026-26996
2. 関連文書 : coalesce consecutive non-globstar * characters  isaacs/minimatch@2e111f3  GitHub

• [2026年02月24日]
    掲載