Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - minimatch 是用于将 glob 表达式转换为 JavaScript RegExp 对象的最小匹配实用工具。
    在低于版本 10.2.3、 9.0.7、 8.0.6、 7.4.8、 6.2.2、 5.1.8、 4.2.5和 3.1.3的版本中当 glob 模式包含多个不相邻的“**”时“matchOne()”会执行不受限制的递归回溯(GLOBSTAR) 段与输入路径不匹配。时间复杂度为 O(C(n, k)) -- 二项式 -- 其中“n”是路径段的数量“k”是 globstar 的数量。k=11 且 n=30 时对默认“minimatch()”API 的调用会停止大约 5 秒。当 k=13 时，该时间超过 15 秒。不存在限制此行为的 memoization 或 callsky 。攻击者可影响传递到 “minimatch()” glob 模式的任何应用程序都容易受到影响。实际的攻击面包括接受用户提供的 glob 参数ESLint、Webpack、Rollup 配置的构建工具和任务运行程序、一个租户配置在共享进程中运行的基于 glob 的规则的多租户系统、接受将忽略规则或过滤器配置为 glob以及评估用户提交的包含 glob 模式的配置文件的 CI/CD 管道。可将特制模式放置于其中任何路径的攻击者可在每次调用时使 Node.js 事件循环停止数十秒。对于 5 秒的停止该模式为 56 字节并且在模式输入作为功能的一部分的上下文中不需要认证。版本 10.2.3、 9.0.7、 8.0.6、 7.4.8、 6.2.2、 5.1.8、 4.2.5和 3.1.3 修复了此问题。 (CVE-2026-27903)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-27903

high Nessus 插件 ID 300455

版本 1.2