判定
- 現在の判定
- Matched（該当）
- 攻撃条件
- 満たす（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たさない（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:N / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
解説
- 概要
- 正規表現パターンが無制限に処理され、SQLite系の環境で同期的なバックトラッキングが発生するサービス拒否の脆弱性です。
- 影響
- 未認証の攻撃者が細工したリクエストを送信し、リクエスト処理を停止させてストアフロントや管理 API を利用不能にできます。繰り返しの攻撃でサービス拒否を継続できます。
- 対象
- Vendure 3.6.5 未満。説明文によると、影響するのは better-sqlite3 または sqljs を使用する環境で、PostgreSQL、MySQL、MariaDB の環境ではこの正規表現を Node.js のイベントループ上で実行しません。
- 対策
- Vendure 3.6.5 にアップデートしてください。
- 判定
- AV:N / PR:N / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 3.1 | AV:N / PR:N / UI:N | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | 2026-09-17 23:38 |
攻撃能力（AI 判定）
| RCE | 非該当 |
| 認証回避 | 非該当 |
| シェル取得 | 非該当 |
| root 取得 | 非該当 |
根拠
-
RCE ・ CNA の説明文
one nested-quantifier pattern can block request processing and make the storefront and admin API unavailable, while repeated requests can sustain denial of service.
-
認証回避 ・ CNA の説明文
one nested-quantifier pattern can block request processing and make the storefront and admin API unavailable, while repeated requests can sustain denial of service.
-
シェル取得 ・ CNA の説明文
one nested-quantifier pattern can block request processing and make the storefront and admin API unavailable, while repeated requests can sustain denial of service.
-
root 取得 ・ CNA の CVSS 評価
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:55 ・ 入力 SHA-256 01b32d520107
一致した監視対象製品
-
PostgreSQL — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
Vendure is an open-source headless commerce platform. Prior to 3.6.5, the public Shop GraphQL API allows an unauthenticated caller to supply a catastrophically backtracking pattern through StringOperators.regex. packages/core/src/service/helpers/list-query-builder/parse-filter-params.ts passes the raw pattern to the REGEXP implementation registered by packages/core/src/service/helpers/list-query-builder/list-query-builder.ts, and better-sqlite3 and sqljs evaluate it synchronously in the Node.js event loop. ShopProductsResolver.products is publicly reachable, so one nested-quantifier pattern can block request processing and make the storefront and admin API unavailable, while repeated requests can sustain denial of service. PostgreSQL and MySQL or MariaDB deployments do not execute this regular expression in the Node.js event loop. This issue is fixed in version 3.6.5.
変更履歴
-
2026-09-18 00:04
- Matched（該当） と判定した
→ Matched（該当）