CVE-2026-93687: fallo de gravedad alta en micromatch braces
braces through 3.0.3 Stack Overflow via Deeply Nested Patterns
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
41Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 8.7epss 0.8%
de la publicación al arma6 días
Publicada en NVD18 sept
1ª PoC+6d
braces through 3.0.3 contains a stack overflow vulnerability in the recursive AST walkers that lack depth guards. Attackers can supply deeply nested brace patterns under the character limit to exhaust the call stack and terminate the Node.js process with an uncaught RangeError.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Productos afectados
micromatch · bracesPoCs públicas encontradas — 4
githubgithub.com/pillarsdotnet/node-braces★ 0githubgithub.com/BernydotJar/braces-security-backport★ 0githubgithub.com/canmenzo/cve-2026-93687-braces★ 0githubgithub.com/scastillo-jp/braces-fork★ 0⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — micromatch braces
En el mismo producto, de las más peligrosas a las menos.
Referencias
https://github.com/advisories/ghsa-vfj7-8cjw-p6xmhttps://github.com/micromatch/braceshttps://github.com/micromatch/braces/blob/3.0.3/lib/compile.js#L49-L53https://github.com/micromatch/braces/blob/3.0.3/lib/expand.js#L102-L105https://github.com/micromatch/braces/blob/3.0.3/lib/parse.js#L38-L40https://github.com/micromatch/braces/issues/70https://github.com/micromatch/braces/issues/73#issuecomment-5996574974https://www.vulncheck.com/advisories/braces-through-3.0.3-stack-overflow-via-deeply-nested-patterns