CVE-2026-16211
NiskieCVSS 2.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W komponencie Hostname Allocation Handler w projekcie allegro (do wersji bcf65b994ef29fb3fc2e10b660e6288723d5209e) wykryto podatność na wyścig (race condition) w funkcji AssetLastHostname.increment_hostname. Atak wymaga manipulacji argumentem counter i jest bardzo złożony, a jego wykorzystanie uznano za trudne. Exploit został publicznie ujawniony i może być użyty, a projekt nie odpowiedział na zgłoszenie problemu.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwym zakłóceniu przydzielania nazw hostów w wyniku wyścigu, co może prowadzić do niespójności danych lub nieautoryzowanego dostępu do zasobów. Ze względu na wysoką złożoność ataku, ryzyko jest ograniczone, ale exploit jest publicznie dostępny.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek lub aktualizacji do wersji nowszej niż bcf65b994ef29fb3fc2e10b660e6288723d5209e, jeśli są dostępne. W przypadku braku łatki, należy ograniczyć dostęp do funkcji AssetLastHostname.increment_hostname i monitorować logi pod kątem podejrzanych manipulacji argumentem counter.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in allegro up to bcf65b994ef29fb3fc2e10b660e6288723d5209e. This impacts the function AssetLastHostname.increment_hostname of the file src/ralph/assets/models/assets.py of the component Hostname Allocation Handler. Executing a manipulation of the argument counter can lead to race condition. Attacks of this nature are highly complex. The exploitability is said to be difficult. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.