CVE-2026-118764: DoS in minimatch globbing

CVE-2026-118764 è una vulnerabilità di Denial of Service in minimatch, libreria JavaScript ampiamente utilizzata per il matching di glob expressions e la conversione in oggetti RegExp. La falla risiede nella funzione firstPhasePreProcess(): a livello di ottimizzazione 2 o superiore, la funzione espande ripetutamente pattern **/.. controllati da un utente malevolo all'interno di un ciclo di punto fisso, generando globParts entries che vengono successivamente processate e riespranse. Il risultato è un consumo eccessivo e incontrollato di CPU e memoria durante la compilazione del pattern.

Il punteggio CVSS ufficiale è 6,9 (classificato come medium severity dalla NVD). NVD ha assegnato formalmente il CVE il 29 ottobre 2026. Minimatch è una dipendenza molto popolare negli ecosistemi Node.js e npm, integrata in numerosi progetti di build, testing e file processing. L'impatto è reale: qualunque servizio che accetti glob patterns da input non verificato diventa esposto. Un segnale coerente proviene da GitHub (data 1° novembre 2026), dove sono state segnalate implementazioni del problema, confermando il riconoscimento della vulnerabilità nella comunità degli sviluppatori.

L'aggiornamento correttivo è disponibile nella versione 11.0.1. Amministratori e team IT devono prioritizzare l'upgrade di minimatch a 11.0.1 o superiore in tutti gli ambienti di produzione e verificare ricorsivamente le dipendenze tramite npm audit. Il rischio è massimo per sistemi che elaborano glob patterns da fonti non attendibili: upload di file, parsing di configurazioni utente, costruzione dinamica di filtri. Applicare la patch con urgenza e monitorare i log per pattern anomali o consumi anomali di risorse che potrebbero indicare tentativi di sfruttamento.