ReDoS (Catastrophic Backtracking) in list-query-builder Regex Filter

Vulnerability Overview Vulnerability Type: Catastrophic Backtracking in Regular Expressions (Regex) Vulnerability Description: The filter in is exposed in the public Shop API in synchronous mode. When a specially crafted regex pattern prone to catastrophic backtracking is supplied, it induces exponential time complexity, causing request hangs and resulting in Denial of Service (DoS) risk. Trigger Conditions: A user-supplied regex contains nested quantifiers (e.g., ), and the string length exceeds the threshold ( ). Scope of Impact Affected Component: The module within Affected Endpoint: The filter exposed in the public Shop API Impact: Attackers can cause backend thread blockage by crafting specific regex patterns, leading to service degradation or unavailability. Remediation 1. Length Limitation: Enforce a maximum length limit for regex patterns ( ); patterns exceeding this length are rejected outright. 2. Static Analysis: Perform static analysis on regex patterns to detect catastrophic backtracking patterns, such as nested quantifiers (star height ≥ 2). 3. Whitelist Mechanism: Allow only safe regex patterns (e.g., , , , , , , , etc.), while rejecting patterns containing nested quantifiers or complex structures. 4. Test Coverage: Add unit tests covering the ReDoS protection logic for the regex filter. POC / Exploit Code ```typescript // Catastrophic backtracking regex examples (star height ≥ 2) const dangerous = [ "(a+)+", "(a)", "(a)+", "(a+)", "(a+)+", "((a+)+)", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+", "(a+)+",

Goal Reached Thanks to every supporter — we hit 100%!

ReDoS (Catastrophic Backtracking) in list-query-builder Regex Filter

More from this source