CVE-2025-62723

ŚrednieCVSS 4.3

Opublikowano: 24/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

FlashMQ, broker MQTT przeznaczony do środowisk wieloprocesorowych, przed wersją 1.23.2 ma podatność, która pozwala uwierzytelnionemu użytkownikowi tworzyć sesje i gromadzić wiadomości QoS. Gdy nie są wysyłane do klienta, nie są one zwalniane po wygaśnięciu sesji, co prowadzi do wyczerpania zasobów. Wersja 1.23.2 naprawia problem.

Ocena ryzyka

Atakujący może celowo tworzyć sesje i gromadzić wiadomości, co może prowadzić do wyczerpania pamięci lub innych zasobów, powodując niedostępność brokera.

Rekomendacja

Zaktualizuj FlashMQ do wersji 1.23.2 lub nowszej, która zawiera poprawkę, oraz monitoruj wykorzystanie zasobów.

Inne podatności w FlashMQ

CVE-2026-46411Średnie
FlashMQ przed wersją 1.26.2 pozwala autoryzowanym klientom na przekroczenie dozwolonego nadmiaru zapisu w buforze wyjściowym, co wyzwala wewnętrzny wyjątek bezpieczeństwa. Wyjątek ten znajduje się w ścieżce, która nie może zostać przechwycona, co prowadzi do przerwania działania serwera.

Oryginalny opis (angielski, źródło NVD)

FlashMQ is a MQTT broker/server, designed for multi-CPU environments. Prior to version 1.23.2, any authenticated user can create sessions and have them collect QoS messages. When not sent to a client, these are then not released upon (eventual) session expiration. Version 1.23.2 fixes the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS