CVE-2026-103472

WysokieCVSS 7.5

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

restbed do wersji 5.0.0 akceptuje ramki WebSocket z deklarowanymi długościami ładunku do 2^63 bajtów i buforuje ładunek bez ograniczeń rozmiaru w nieograniczonym buforze strumieniowym. Zdalni nieuwierzytelnieni atakujący mogą deklarować duże rozmiary ramek i przesyłać dane, aby wyczerpać pamięć serwera, powodując odmowę usługi przez awarię procesu.

Ocena ryzyka

Atakujący może spowodować awarię serwera, co prowadzi do niedostępności usługi dla użytkowników.

Rekomendacja

Zaktualizuj restbed do wersji nowszej niż 5.0.0, która zawiera poprawkę bezpieczeństwa.

Inne podatności w restbed

CVE-2026-103471Wysokie
Biblioteka restbed w wersjach do 5.0.0 buforuje nagłówki żądań HTTP bez limitu rozmiaru. Zdalny, nieuwierzytelniony atakujący może otworzyć połączenie TCP i przesyłać dane bez kończącego delimitera nagłówka, zmuszając serwer do nieograniczonej alokacji pamięci sterty aż do zabicia procesu.

Oryginalny opis (angielski, źródło NVD)

restbed through 5.0.0 accepts WebSocket frames with declared payload lengths up to 2^63 bytes and buffers the payload without size limits in an unbounded stream buffer. Remote unauthenticated attackers can declare large frame sizes and stream payload data to exhaust server memory, causing denial of service through process crash.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS