CVE-2026-104861
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
probe-image-size przed wersją 7.4.0 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service) w parserach SVG (lib/parse_sync/svg.js i lib/parse_stream/svg.js). Wyrażenie regularne /<[-_.:a-zA-Z0-9][^>]*>/ wielokrotnie skanuje do końca danych, gdy dane kontrolowane przez atakującego zawierają wiele znaków mniejszych niż bez zamykającego znaku większego. Parser synchroniczny przetwarza cały bufor bez limitu, a parser strumieniowy przetwarza cały skumulowany prefiks SVG dla każdego odebranego fragmentu. Punkty wejścia probe.sync(), probe(stream) i probe(url) mogą zablokować pętlę zdarzeń Node.js przy pełnym obciążeniu CPU. Poprawka w wersji 7.4.0.
Ocena ryzyka
Podatność może prowadzić do odmowy usługi (DoS) poprzez zablokowanie pętli zdarzeń Node.js, co może wpłynąć na dostępność aplikacji korzystających z tej biblioteki.
Rekomendacja
Zaktualizuj probe-image-size do wersji 7.4.0 lub nowszej. Dodatkowo ogranicz rozmiar przetwarzanych danych wejściowych i stosuj limity czasu.
Powiązane podatności
- CVE-2026-115931Krytyczne
Postiz pozwala zalogowanemu użytkownikowi na żądanie wykonania funkcji na podłączonym kanale, ale backend nie ograniczał, jakie funkcje mogą być wywołane. Użytkownik mógł wywołać wewnętrzne funkcje pomocnicze, w tym jedną czytającą pliki z dysku serwera (np. plik środowiskowy z sekretem do podpisywania sesji, adres bazy danych i poświadczenia usług) oraz inną powodującą zakończenie procesu backendu. Samorejestracja jest domyślnie otwarta, więc nie jest potrzebne istniejące konto ani działanie innego użytkownika.
- CVE-2026-115893Krytyczne
Wasmtime przed wersjami 36.0.19, 48.0.7 i 49.0.4 posiada błąd w kompilatorze Cranelift na architekturze aarch64. Instrukcja br_table z ponad 256 000 celów może zostać błędnie skompilowana, umożliwiając skok do dowolnego kodu i ucieczkę z sandboxa.
- CVE-2026-115889Krytyczne
Wasmtime przed wersjami 36.0.19 i 43.0.0 ma błąd w kompilatorze Cranelift polegający na cichym przepełnieniu indeksów SSA przy kompilacji dużych funkcji Wasm. Może to prowadzić do błędnej kompilacji, pomieszania typów i ucieczki z sandboxa.
- CVE-2026-115812Krytyczne
Podatność path traversal w procesie rozpakowywania archiwum modelu w AWS Multi Model Server w wersji 1.1.11 i wcześniejszych. Zdalny atakujący może wykorzystać spreparowane archiwum modelu do wykonania dowolnego kodu. Projekt jest wycofany z eksploatacji i nie istnieje poprawiona wersja.
- CVE-2026-55486Krytyczne
W Goobi viewer od wersji 25.08 do przed 26.05 punkty końcowe IIIF Auth 2.0 auth/login i auth/token przyjmują parametr origin bez walidacji, który jest następnie osadzany w nagłówku Content-Security-Policy oraz w treści HTML jako argument postMessage. Ponieważ atakujący kontroluje oba wywołania, nieescapowana wartość prowadzi do odbitego XSS.
- CVE-2026-53942Krytyczne
W repozytorium conda/conda przed commitem 9c0f238 występuje podatność typu GitHub Actions Pwn Request w workflow .github/workflows/update.yml. Wyzwalana jest przez komentarze zawierające @conda-bot render lub @conda-bot recreate, co pozwala niezaufanemu PR na dotarcie do renderowania szablonów Jinja2 w kontekście uprzywilejowanego tokenu.
- CVE-2026-46652Krytyczne
W Goobi viewer od wersji 24.03 do przed 26.05 metoda ExternalFilesDownloader.getFilename() pobiera nazwę pliku z nagłówka Content-Disposition i przekazuje ją bezpośrednio do Path.resolve() bez usuwania komponentów katalogu. Złośliwy serwer HTTP może podać ścieżkę absolutną lub sekwencje ../, zapisując treść w dowolnej lokalizacji, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-46651Krytyczne
W Goobi viewer od wersji 24.03 do przed 26.05 punkt końcowy WebSocket DownloadTaskEndpoint (/tasks/download/monitor.socket) w goobi-viewer-core przyjmuje żądania pobierania od nieuwierzytelnionych użytkowników. Podatność została naprawiona w wersji 26.05.
- CVE-2026-53921Krytyczne
W odhcpd (serwer DHCPv6/DHCPv4/RA w OpenWrt) przed wersją 25.12 występuje przepełnienie bufora stosu (512-bajtowy pdbuf) podczas przetwarzania odpowiedzi IA na pojedynczy pakiet DHCPv6 REQUEST z dużą liczbą opcji IA. Dwa niezależne miejsca przepełnienia są osiągalne przez sieć jednym nieuwierzytelnionym pakietem UDP. odhcpd działa jako root, a urządzenia embedded często nie mają canarków stosu ani ASLR, co czyni wykonanie kodu realnym.
- CVE-2026-114357Krytyczne
W firmware DJI CrystalSky ZS600C w wersjach v0.3.9.7–v0.6.6.9 demon Android Debug Bridge (adbd) nie wymaga uwierzytelnienia dla krytycznej funkcji. Urządzenie ma ro.adb.secure=0 i domyślnie włączony ADB przez USB; po włączeniu ADB przez TCP ten sam nieuwierzytelniony shell (uid 2000) jest osiągalny sieciowo. Stanowi to punkt wyjścia do eskalacji uprawnień do roota.
Oryginalny opis (angielski, źródło NVD)
probe-image-size gets image dimensions without downloading the entire file. Prior to 7.4.0, lib/parse_sync/svg.js and lib/parse_stream/svg.js use the searching regular expression /<[-_.:a-zA-Z0-9][^>]*>/, which repeatedly scans to the end of input when attacker-controlled data contains many less-than characters without a closing greater-than character. The synchronous parser converts and scans the full supplied buffer without an input cap, while the streaming parser reparses the complete accumulated SVG prefix for every received chunk. The probe.sync(), probe(stream), and probe(url) entry points can therefore block the Node.js event loop at full CPU, and attacker-controlled chunking can amplify the streaming cost. This issue is fixed in version 7.4.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS