glob-parent 易受正则表达式拒绝服务 (Regular Expression Denial of Service) 攻击，位于封闭正则表达式中

CVE-2020-28469 影响 5.1.2 之前的 glob-parent 包。这是一种拒绝服务 (DoS) 漏洞，源于用于检查字符串是否以包含路径分隔符的封闭字符（例如单引号或双引号）结尾的错误正则表达式 (regex)。攻击者可以通过提供专门设计的输入字符串来利用此漏洞，从而导致正则表达式消耗过多的系统资源，例如 CPU 或内存，从而可能导致应用程序不稳定或崩溃。CVSS 分数为 7.5，表明风险较高。虽然它不允许远程代码执行，但服务中断可能会对应用程序可用性产生重大影响。

Node.js developers and system administrators who use the glob-parent package as a dependency in their projects are at risk. This includes applications that rely on glob patterns for file system traversal or pattern matching. Projects using older versions of Node.js or those with complex dependency chains are particularly vulnerable.

• nodejs / server:

  npm list glob-parent

If the output shows a version less than 5.1.2, the system is vulnerable. • nodejs / server:

npm audit glob-parent

This command will identify vulnerable dependencies and suggest updates. • generic web: Monitor Node.js application logs for excessive CPU usage or memory allocation related to glob pattern processing. Look for patterns of repeated errors or warnings associated with regular expression matching.

1. 2020-11-16Discovery

   discovery

2. 2021-06-07Disclosure

   disclosure

1. 已保留2020-11-12
2. 发布日期2021-06-07
3. 修改日期2025-01-14
4. EPSS 更新日期2026-04-02

此漏洞的有效缓解措施是将 glob-parent 包更新到 5.1.2 或更高版本。此版本更正了有问题的正则表达式，从而防止了过度资源消耗。如果无法立即更新，请检查使用 glob-parent 的代码，以识别攻击者可能注入恶意字符串的潜在输入点。实施强大的输入验证可以帮助防止利用，但这并不是一个完整的解决方案。监控系统资源使用情况，尤其是 CPU 和内存，可以帮助检测潜在的攻击。