CVE-2025-51846

Wysokie

Opublikowano: 30/04/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

CryptPad w wersji 2025.3.1 pozwala na nieograniczone zalewanie ramek WebSocket. Zdalny, nieautoryzowany atakujący może znacząco pogorszyć lub zablokować usługi dla wszystkich użytkowników instancji CryptPad.

Ocena ryzyka

Atakujący może spowodować poważne zakłócenia w działaniu usługi, co wpływa na dostępność dla wszystkich użytkowników.

Rekomendacja

Zaleca się aktualizację do wersji 2026.2.2, aby usunąć tę podatność.

Inne podatności w CryptPad

CVE-2026-26028Średnie
CryptPad przed wersją 2026.2.0 zawiera podatność w sanitizerze HTML w Diffmarked.js. Sanitizer sprawdza tylko atrybut src w elementach <iframe>, <video> i <audio>, pozostawiając inne atrybuty (np. srcdoc) bez kontroli. Atakujący może wstrzyknąć dowolny HTML, omijając ochronę bounce sandboxing.

Oryginalny opis (angielski, źródło NVD)

CryptPad 2025.3.1 allows unbounded WebSocket frame flood. A remote, unauthenticated attacker can significantly degrade or deny service for all users of a CryptPad instance. Fixed in 2026.2.2.