CVE-2026-118764：minimatch globparts 放大攻擊致拒絕服務

minimatch 是一個最小化的匹配工具，用於將 glob 表示式轉換為 JavaScript RegExp 物件。在 11.0.1 之前，src/index.ts 實現了 firstPhasePreProcess()，使得在 optimizationLevel 2 或更高時，它會在固定點迴圈中反覆展開攻擊者控制的 **/.. 模式片段，允許生成的 globParts 條目再次被處理和展開。secondPhasePreProcess() 隨後逐對比較已展開的條目，因此一個短的惡意 glob 可能在模式編譯過程中導致過度的 CPU 和記憶體消耗。此問題已在 11.0.1 版本中修復。

影響

受影響產品

以下產品受CVE-2026-118764漏洞影響。即使cvefeed.io知道受影響產品的確切版本，該資訊也未在下表中呈現。

尚未記錄受影響產品

Common Vulnerability Scoring System（CVSS）是一套標準化框架用於評估軟體與系統漏洞的嚴重程度。我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。

分數	版本	嚴重性	向量	可利用性分數	影響分數	來源
	CVSS 4.0	高				[email protected]

更新 minimatch 至 11.0.1 或更高版本以修復過度的 CPU 與記憶體消耗。

更新 minimatch 相依套件至 11.0.1 或更高版本。
審查 glob 模式的編譯流程。
監控模式編譯過程中的系統資源。

這裡列出了精選的外部連結，提供關於CVE-2026-118764的深入資訊、實用解決方案與有價值的工具。

網址	資源
https://github.com/isaacs/minimatch/commit/77a0f5c4b80bdc641c3c930a1d9edf5ad2db57f8
https://github.com/isaacs/minimatch/releases/tag/v11.0.1
https://github.com/isaacs/minimatch/security/advisories/GHSA-g3hv-75wg-m249

雖然 CVE 會識別漏洞的具體例項，CWE 則將可能導致漏洞的共通缺陷或弱點分類。CVE-2026-118764 與以下 CWEs 相關聯：

Common Attack Pattern Enumeration and Classification（CAPEC）儲存攻擊模式，描述對手為利用CVE-2026-118764弱點所採用的共通特徵與方法。

我們掃描 GitHub 倉庫以偵測新的概念驗證攻擊。以下清單為已在 GitHub 上發布的公開攻擊與概念驗證，按最近更新時間排序。

結果僅限前 15 個倉庫，因潛在效能問題。

以下列表為已在文章中任何位置提及 CVE-2026-118764 漏洞的新聞。

以下表格列出隨時間變化對 CVE-2026-118764 漏洞所做的更改。

漏洞歷史細節有助於瞭解漏洞演變，並辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。

收到新的 CVE by [email protected]

十月. 29, 2026

動作	型別	新值
新增	說明	minimatch 是一個將 glob 表示式轉換為 JavaScript RegExp 物件的最小匹配工具。於 11.0.1 之前，src/index.ts 實作 firstPhasePreProcess()，以便在 optimisationLevel 2 或更高時，反覆擴充套件攻擊者控制的 **/.. 模式段落於一個 fixpoint 迴圈內，允許產生的 globParts 條目被再次處理與擴充套件。secondPhasePreProcess() 接著將擴充套件後的條目兩兩比較，導致短暫惡意 glob 可能在模式編譯期間造成過度的 CPU 與記憶體消耗。此問題已於 11.0.1 版本修復。
新增	CVSS V4.0	AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
新增	CWE	CWE-405
新增	受影響	已收到新的受影響值。 <a href=\"https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118764.json\">CVE-2026-118764</a>
新增	參考	https://github.com/isaacs/minimatch/commit/77a0f5c4b80bdc641c3c930a1d9edf5ad2db57f8
新增	參考	https://github.com/isaacs/minimatch/releases/tag/v11.0.1
新增	參考	https://github.com/isaacs/minimatch/security/advisories/GHSA-g3hv-75wg-m249

EPSS 是對未來 30 天內觀察到利用活動機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。