CVE-2025-67419

Wysokie

Opublikowano: 05/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Podatność DoS w evershop 2.1.0 i wcześniejszych pozwala nieuwierzytelnionym atakującym na wyczerpanie zasobów serwera aplikacji poprzez API "GET /images". Aplikacja nie ogranicza wysokości drzewa cieni elementów ani wymiarów kafelków wzorów podczas przetwarzania plików SVG, co prowadzi do nieograniczonego zużycia zasobów i odmowy usługi.

Ocena ryzyka

Atakujący może spowodować niedostępność aplikacji dla wszystkich użytkowników, co prowadzi do przerw w działaniu usług i potencjalnych strat finansowych oraz utraty zaufania klientów.

Rekomendacja

Zaktualizuj evershop do najnowszej wersji, która zawiera poprawkę. Jeśli nie jest dostępna, ogranicz dostęp do API "GET /images" dla nieuwierzytelnionych użytkowników oraz wdróż limity zasobów (np. timeout, limit rozmiaru plików SVG).

Inne podatności w evershop

CVE-2026-72843Krytyczne
W EverShop trasa aktualizacji klienta jest zadeklarowana jako publiczna, co powoduje, że middleware uwierzytelniania administratora wywołuje next() bez sprawdzenia wywołującego, a żaden middleware sesji klienta nie chroni trasy. Nieuwierzytelnione żądanie ze znanym uuid klienta może nadpisać adres e-mail i hasło klienta, przejmując konto. Wersja 2.2.1 zmienia trasę na prywatną.

Oryginalny opis (angielski, źródło NVD)

A Denial of Service (DoS) vulnerability in evershop 2.1.0 and prior allows unauthenticated attackers to exhaust the application server's resources via the "GET /images" API. The application fails to limit the height of the use-element shadow tree or the dimensions of pattern tiles during the processing of SVG files, resulting in unbounded resource consumption and system-wide denial of service.