CVE-2026-115319
NiskieCVSS 2.5Streszczenie
fzf w wersjach 0.36.0–0.74.5 zawiera podatność na wyczerpanie zasobów (złożoność kwadratowa) w maskActionContents, umożliwiającą lokalnym atakującym zablokowanie serwera HTTP --listen. Wielokrotne wysyłanie ciał POST o rozmiarze ~1 MB do nieuwierzytelnionego portu localhost blokuje jednowątkowy serwer na około 30 sekund.
Ocena ryzyka
Lokalny atakujący może wywołać odmowę usługi dla serwera --listen fzf, blokując jego dostępność. Ryzyko dotyczy środowisk, w których fzf działa jako serwer nasłuchujący.
Rekomendacja
Zaktualizuj fzf do wersji zawierającej poprawkę lub ogranicz dostęp do portu --listen. Rozważ wyłączenie trybu --listen, jeśli nie jest potrzebny.
Inne podatności w fzf
Zobacz wszystkie- CVE-2026-53433Wysokie
Podatność w narzędziu fzf w trybie --listen powoduje odmowę usługi (DoS) z powodu nieefektywnego przetwarzania treści HTTP, które wykorzystuje wielokrotną konkatenację ciągów znaków, prowadząc do kwadratowej złożoności czasowej (O(n²)). Specjalnie spreparowane żądanie POST z wieloma małymi segmentami może wywołać nadmierne zużycie CPU, blokując jednowątkowy serwer HTTP i uniemożliwiając obsługę innych klientów.
- CVE-2026-53432Wysokie
W narzędziu fzf wykryto podatność na przepełnienie liczb całkowitych w funkcji FuzzyMatchV2. Gdy długość linii wejściowej wynosi około 2 200 000 bajtów, a długość wzorca 999 bajtów, dochodzi do przepełnienia, co powoduje nieprawidłowe granice wycinka. Środowisko uruchomieniowe Go wykrywa błąd i natychmiast kończy proces z nieodwracalną paniką.
Oryginalny opis (angielski, źródło NVD)
fzf 0.36.0 through 0.74.5 contains an inefficient algorithmic complexity vulnerability in maskActionContents that allows local attackers to exhaust the --listen HTTP server through quadratic string concatenation. Attackers can repeatedly send POST bodies of about 1 MB to the unauthenticated localhost port, blocking the single-threaded server for about 30 seconds each time.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS