Falhas do tipo CWE-624
2 resultadosExpressão Regular Executável Malformada
Ocorre quando uma expressão regular é construída dinamicamente a partir de entrada do usuário ou dados não validados, permitindo que um atacante injete padrões maliciosos. Se a regex for usada em contextos sensíveis (validação, sanitização, busca), o código pode falhar, processar dados incorretamente ou ser explorado para negação de serviço (ReDoS).
Uma função de busca que monta uma regex diretamente com parâmetros GET sem escape: `new RegExp(request.query.filter)` permite que um atacante forneça algo como `(a+)+b` para disparar backtracking catastrófico e congelar a aplicação.
Valide e escape rigorosamente qualquer entrada antes de compilar regex; prefira usar funções específicas de busca/correspondência com flags controladas. Se a regex vir do usuário, considere oferecer apenas um conjunto predefinido de padrões seguros ou usar bibliotecas que limitam a complexidade.