CVE-2026-104057

WysokieCVSS 7.5

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Podgrab zawiera podatność na atak DoS bez uwierzytelnienia, spowodowaną niesynchronizowanym dostępem do współdzielonych map w handlerze WebSocket. Zdalny atakujący może otworzyć wiele połączeń WebSocket i wysyłać wiadomości w pętli, co powoduje wyścig danych w Go i crash procesu, wymagający interwencji operatora.

Ocena ryzyka

Atakujący może spowodować niedostępność usługi, co wymaga ręcznego restartu i może prowadzić do przerw w działaniu.

Rekomendacja

Zaktualizuj Podgrab do wersji z poprawką synchronizacji dostępu do map lub zastosuj mutexy.

Inne podatności w Podgrab

CVE-2026-104058Średnie
Podgrab zawiera podatność braku uwierzytelnienia, w której trasa WebSocket /ws jest zarejestrowana w głównym silniku gin zamiast w grupie routerów chronionej BasicAuth, co pozwala nieuwierzytelnionym klientom sieciowym na połączenie nawet przy skonfigurowanym haśle. Atakujący mogą dołączyć do zestawu allConnections, przechwycić transmisje PlayerExists zawierające identyfikatory graczy dostarczane przez klientów i odtworzyć je w wiadomości RegisterPlayer, aby przejąć kolejki payloadów przeznaczonych dla uwierzytelnionych użytkowników, ujawniając identyfikatory odcinków, tytuły i ścieżki plików po stronie serwera, a także potencjalnie zakłócając legalne odtwarzanie.

Oryginalny opis (angielski, źródło NVD)

Podgrab contains an unauthenticated denial-of-service vulnerability caused by unsynchronized concurrent access to shared maps (activePlayers and allConnections) in its WebSocket handler, where Wshandler and HandleWebsocketMessages goroutines read and write these maps without a mutex. A remote attacker can open multiple WebSocket connections to the /ws endpoint and send messages in a loop to trigger a Go runtime data race that crashes the process, causing a denial of service that requires operator intervention to restore service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS