EUVD-2026-31793Published

Versions of the package pacote from 11.2.7 and before 21.5.1 are vulnerable to Denial of Service (DoS) via the addGitSha function. An attacker can exploit this vulnerability by supplying a specially crafted spec.rawSpec value that triggers …

Historical advisory saved 5 Nov 2026 14:42:11 UTC. The publisher may have updated it since then. Latest advisory.

euvd · EUVD-2026-31793

Published

Versions of the package pacote from 11.2.7 and before 21.5.1 are vulnerable to Denial of Service (DoS) via the addGitSha function. An attacker can exploit this vulnerability by supplying a specially crafted spec.rawSpec value that triggers the function’s regex replacement and string-manipulation logic, causing excessive CPU consumption and potentially stalling or crashing the process.

Additional publisher context

EUVD source date text has no stated timezone and is retained without inventing a UTC instant. Related bulletin membership is not an alias, common cause or applicability claim. A missing vector with a zero score is treated as unrated. Complete vendor/product and underlying source evidence remains in the original JSON.

Original publisher date fields

datePublished: May 26, 2026, 5:00:07 AM

dateUpdated: Jul 7, 2026, 3:25:27 PM

18 related source bulletins · separate from aliases

openSUSE-SU-2026:21058-1: Security update for nodejs22

CVE-2026-11525 · CVE-2026-12151 · CVE-2026-21637 · CVE-2026-21710 · CVE-2026-21713 · CVE-2026-21714 · CVE-2026-21715 · CVE-2026-21716 · CVE-2026-21717 · CVE-2026-27135 · CVE-2026-40170 · CVE-2026-42338 · CVE-2026-48615 · CVE-2026-48617 · CVE-2026-48618 · CVE-2026-48619 · CVE-2026-48928 · CVE-2026-48930 · CVE-2026-48931 · CVE-2026-48933 · CVE-2026-48934 · CVE-2026-48935 · CVE-2026-48937 · CVE-2026-6733 · CVE-2026-9496 · CVE-2026-9679

RHSA-2026:76750: Red Hat Security Advisory: nodejs:22 security update

CVE-2026-9496 · CVE-2026-19534

RHSA-2026:88200: Red Hat Security Advisory: Ansible automation portal Red Hat Enterprise Linux Images

CVE-2026-9496 · CVE-2026-19553 · CVE-2026-85393 · CVE-2026-87776 · CVE-2026-89011 · CVE-2026-100721

RHSA-2026:92578: Red Hat Security Advisory: General availability of the satellite/iop-remediations-rhel9 container image

CVE-2026-9496 · CVE-2026-90711 · CVE-2026-97057 · CVE-2026-102276 · CVE-2026-102278

RHSA-2026:72497: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update

CVE-2026-9496 · CVE-2026-63209 · CVE-2026-93450

RHSA-2026:72116: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update

CVE-2026-9496

openSUSE-SU-2026:21236-1: Security update for nodejs24

CVE-2026-11525 · CVE-2026-12151 · CVE-2026-2581 · CVE-2026-27135 · CVE-2026-40170 · CVE-2026-42338 · CVE-2026-48615 · CVE-2026-48617 · CVE-2026-48618 · CVE-2026-48619 · CVE-2026-48928 · CVE-2026-48930 · CVE-2026-48931 · CVE-2026-48933 · CVE-2026-48934 · CVE-2026-48935 · CVE-2026-48937 · CVE-2026-6733 · CVE-2026-9496 · CVE-2026-9678 · CVE-2026-9679

RHSA-2026:75870: Red Hat Security Advisory: nodejs:22 security update

CVE-2026-9496 · CVE-2026-19534

SUSE-SU-2026:2647-1: Security update for nodejs22

CVE-2026-11525 · CVE-2026-12151 · CVE-2026-27135 · CVE-2026-40170 · CVE-2026-42338 · CVE-2026-48615 · CVE-2026-48617 · CVE-2026-48618 · CVE-2026-48619 · CVE-2026-48928 · CVE-2026-48930 · CVE-2026-48931 · CVE-2026-48933 · CVE-2026-48934 · CVE-2026-48935 · CVE-2026-48937 · CVE-2026-6733 · CVE-2026-9496 · CVE-2026-9679

RHSA-2026:84589: Red Hat Security Advisory: nodejs:22 security update

CVE-2026-9496 · CVE-2026-19534

RHSA-2026:90321: Red Hat Security Advisory: Red Hat OpenShift Dev Spaces 3.31.0 Release.

CVE-2023-54404 · CVE-2025-62718 · CVE-2026-8643 · CVE-2026-9496 · CVE-2026-12185 · CVE-2026-13697 · CVE-2026-14682 · CVE-2026-15076 · CVE-2026-16308 · CVE-2026-17106 · CVE-2026-18427 · CVE-2026-19203 · CVE-2026-19534 · CVE-2026-39820 · CVE-2026-41178 · CVE-2026-41707 · CVE-2026-42499 · CVE-2026-42502 · CVE-2026-45416 · CVE-2026-47884 · CVE-2026-47886 · CVE-2026-47888 · CVE-2026-47890 · CVE-2026-47892 · CVE-2026-50010 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-55851 · CVE-2026-56745 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-56852 · CVE-2026-56854 · CVE-2026-58062 · CVE-2026-59280 · CVE-2026-59282 · CVE-2026-59283 · CVE-2026-59296 · CVE-2026-59313 · CVE-2026-59323 · CVE-2026-59651 · CVE-2026-59887 · CVE-2026-59899 · CVE-2026-59901 · CVE-2026-62243 · CVE-2026-64607 · CVE-2026-67213 · CVE-2026-67312 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-68494 · CVE-2026-68497 · CVE-2026-69152 · CVE-2026-69192 · CVE-2026-71290 · CVE-2026-71324 · CVE-2026-71325 · CVE-2026-71327 · CVE-2026-73500 · CVE-2026-73508 · CVE-2026-74835 · CVE-2026-75838 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-76169 · CVE-2026-81521 · CVE-2026-82417 · CVE-2026-82562 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394 · CVE-2026-84428 · CVE-2026-84445 · CVE-2026-84469 · CVE-2026-84504 · CVE-2026-84961 · CVE-2026-85062 · CVE-2026-85124 · CVE-2026-85152 · CVE-2026-85595 · CVE-2026-85597 · CVE-2026-86063 · CVE-2026-87743 · CVE-2026-88004 · CVE-2026-88007 · CVE-2026-88008 · CVE-2026-88009 · CVE-2026-88011 · CVE-2026-88012 · CVE-2026-88031 · CVE-2026-88878 · CVE-2026-88879 · CVE-2026-90711 · CVE-2026-93749 · CVE-2026-100655 · CVE-2026-100656 · CVE-2026-100666 · CVE-2026-101916 · CVE-2026-102925 · CVE-2026-102930 · CVE-2026-103435 · CVE-2026-109618 · CVE-2026-109619

SUSE-SU-2026:22565-1: Security update for nodejs24

RHSA-2026:75864: Red Hat Security Advisory: nodejs22 security update

CVE-2026-9496 · CVE-2026-19534

RHSA-2026:92584: Red Hat Security Advisory: General availability of the satellite/iop-remediations-rhel9 container image

CVE-2026-9496 · CVE-2026-90711 · CVE-2026-97057 · CVE-2026-102276 · CVE-2026-102278

SUSE-SU-2026:3929-1: Security update for nodejs20

CVE-2025-22150 · CVE-2026-11525 · CVE-2026-12151 · CVE-2026-16728 · CVE-2026-16729 · CVE-2026-22036 · CVE-2026-27135 · CVE-2026-40170 · CVE-2026-42338 · CVE-2026-48615 · CVE-2026-48617 · CVE-2026-48618 · CVE-2026-48619 · CVE-2026-48928 · CVE-2026-48930 · CVE-2026-48931 · CVE-2026-48933 · CVE-2026-48934 · CVE-2026-48935 · CVE-2026-48937 · CVE-2026-54272 · CVE-2026-56846 · CVE-2026-56847 · CVE-2026-56848 · CVE-2026-56850 · CVE-2026-58039 · CVE-2026-58040 · CVE-2026-58042 · CVE-2026-58043 · CVE-2026-58044 · CVE-2026-58045 · CVE-2026-6733 · CVE-2026-69192 · CVE-2026-9496 · CVE-2026-9679

openSUSE-SU-2026:11121-1: corepack24-24.17.0-1.1 on GA media

SUSE-SU-2026:22368-1: Security update for nodejs22

SUSE-SU-2026:3930-1: Security update for nodejs20

Source published: May 26, 2026, 5:00:07 AM (timezone not stated)
Source modified: Jul 7, 2026, 3:25:27 PM (timezone not stated)
Saved here: 5 Nov 2026 14:42:11 UTC
Source terms: ENISA EUVD · source terms and attribution apply

Original source record · Cite this exact observation · Complete original publisher JSON

Source: euvd · ENISA EUVD · source terms and attribution apply. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.

EUVD CVSS 4.0 · 8.7 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:P