CVE-2025-8671
WysokieStreszczenie
Nieprawidłowe zarządzanie strumieniami w niektórych implementacjach HTTP/2 może prowadzić do nadmiernego zużycia zasobów serwera, co skutkuje atakiem typu denial-of-service (DoS). Atakujący może wykorzystać błędne ramki lub błędy kontroli przepływu, aby szybko resetować strumienie, co prowadzi do nieprawidłowego rozliczania strumieni.
Ocena ryzyka
Organizacja może być narażona na ataki DoS, które mogą prowadzić do niedostępności usług oraz przeciążenia serwera, co wpływa na wydajność i dostępność aplikacji.
Rekomendacja
Zaleca się monitorowanie i ograniczanie liczby jednoczesnych strumieni oraz aktualizację implementacji HTTP/2, aby zminimalizować ryzyko związane z tą podatnością.
Powiązane podatności
- CVE-2026-93352Krytyczne
Laravel-Mediable w wersjach 7.0.0 do 7.0.2 zawiera niekompletną poprawkę dla CVE-2026-49972 — rozszerzenie .pht nie zostało dodane do listy zabronionych rozszerzeń w config/mediable.php. Apache na systemach Debian i Ubuntu wykonuje pliki .pht jako PHP, co pozwala atakującemu na przesłanie złośliwego pliku i zdalne wykonanie kodu.
- CVE-2026-6928Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 odwołuje się do zwolnionej pamięci lub uzyskuje do niej dostęp (use-after-free). Atakujący mogący wpłynąć na wykonanie programu lub dane wejściowe może wykorzystać tę lukę do uszkodzenia pamięci, awarii aplikacji lub wykonania dowolnego kodu.
- CVE-2026-6730Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 jest podatny na przepełnienie bufora spowodowane niewłaściwym sprawdzaniem granic. Lokalny użytkownik może przepełnić bufor i wykonać dowolny kod w systemie.
- CVE-2026-6721Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu na dostarczenie specjalnie spreparowanych danych wejściowych, które są włączane do poleceń systemu operacyjnego, co prowadzi do wykonania dowolnych poleceń. Udana eksploatacja umożliwia zdalne wykonanie kodu z uprawnieniami aplikacji.
- CVE-2026-67404Krytyczne
RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.0 — gdy brak jest pakietu CA, ssl_options/1 domyślnie używa [{verify, verify_none}] bez ostrzeżenia. Atakujący w pozycji man-in-the-middle może sfałszować odpowiedź JWKS, co prowadzi do akceptacji dowolnych tokenów JWT przez brokera.
- CVE-2026-67231Krytyczne
RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.0 — plugin trust-store instaluje verify_fun, który nadpisuje błędy {bad_cert, unknown_ca} / {bad_cert, selfsigned_peer}, gdy prezentowany certyfikat „pasuje” do białej listy. Klucz dopasowania opiera się wyłącznie na nazwie wystawcy i numerze seryjnym, które można łatwo podrobić, co pozwala na obejście uwierzytelniania klienta TLS.
- CVE-2026-87900Krytyczne
WP Toolkit dla cPanel w wersjach 6.11.2-10794 i wcześniejszych zawiera lukę wstrzyknięcia argumentów, która pozwala zdalnym uwierzytelnionym użytkownikom na odczyt dowolnych plików i wykonanie dowolnego kodu w ramach kont klientów.
- CVE-2026-87899Krytyczne
cPanel zawiera lukę polegającą na wykonywaniu operacji z niepotrzebnie wysokimi uprawnieniami, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu z uprawnieniami roota.
- CVE-2026-87898Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Plesk pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu z uprawnieniami roota.
- CVE-2026-84719Krytyczne
Wada w automation-controller platformy Ansible Automation Platform: podczas kopiowania WorkflowJobTemplate walidator uprawnień deep-copy sprawdza tylko inventory, unified_job_template i credentials, ale nie sprawdza instance_groups (oraz execution_environment i labels) zachowanych z oryginału. Użytkownik z uprawnieniami workflow-admin w organizacji, ale bez roli na odwołanych instance groups, może skopiować workflow, zostać jego administratorem i uruchamiać zadania przypięte do nieautoryzowanych instance groups, w tym do grupy control-plane, omijając granicę InstanceGroup use_role i powodując uruchomienie automatyzacji w kontekście control-plane.
Oryginalny opis (angielski, źródło NVD)
A mismatch caused by client-triggered server-sent stream resets between HTTP/2 specifications and the internal architectures of some HTTP/2 implementations may result in excessive server resource consumption leading to denial-of-service (DoS). By opening streams and then rapidly triggering the server to reset them—using malformed frames or flow control errors—an attacker can exploit incorrect stream accounting. Streams reset by the server are considered closed at the protocol level, even though backend processing continues. This allows a client to cause the server to handle an unbounded number of concurrent streams on a single connection. This CVE will be updated as affected product details are released.