CVE-2026-16632

facil.io przed commit 5128747363055201d3ecf0e29bf0a961703c9fa0 ma podatność na nieskończoną pętlę w funkcji `fio_json_parse` przy napotkaniu zagnieżdżonej wartości JSON zaczynającej się od 'i' lub 'I'. Proces zużywa 100% jednego rdzenia CPU zamiast zwrócić błąd parsowania. Ponieważ `iodine` używa tego samego kodu, również jest podatny.

Podatność w facil.io w wersjach 0.7.5 do 0.7.6 w parserze kodowania transferu fragmentarycznego HTTP/1.1 pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii serwera poprzez wysłanie ujemnego rozmiaru fragmentu. Atakujący może wysłać pojedyncze żądanie POST z nagłówkiem Transfer-Encoding: chunked zawierającym znak minus w polu rozmiaru fragmentu, co powoduje obliczenie dużej liczby całkowitej z zanegowanej wartości, uszkodzenie stanu wewnętrznego i przesunięcie wskaźnika odczytu do niezmapowanej pamięci, skutkujące błędem.

Podatność w facil.io w wersjach 0.6.0 do 0.7.6 w parserze treści multipart pozwala nieuwierzytelnionym zdalnym atakującym na trwałe zablokowanie procesów roboczych przy 100% użyciu CPU poprzez wysłanie żądania multipart/form-data z częściowym zamykającym separatorem. Brak zabezpieczenia postępu w pętli parsera powoduje, że http_mime_parse zwraca 0 bajtów bez ustawienia flag done lub error, co prowadzi do nieskończonego wywoływania parsera na tym samym buforze, wyczerpując wszystkie procesy robocze i trwale wyłączając serwer do czasu ręcznego restartu.

facil.io w wersjach od 0.6.0 do 0.7.6 zawiera podatność polegającą na niedomiarze liczby całkowitej w parserze treści MIME multipart, która pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii procesu serwera poprzez wysłanie spreparowanego nagłówka Content-Disposition z pustą nazwą pola. Atakujący może wywołać zawinięcie uint32_t w http_mime_parser.h, prowadzące do odczytu pamięci poza zakresem wskaźnika nazwy, co skutkuje błędem magistrali i awarią wątku roboczego przy pojedynczym żądaniu POST.

W projekcie boazsegev facil.io do wersji 0.7.58 włącznie wykryto podatność na path traversal w funkcji http_sendfile2 pliku lib/facil/http/http.c komponentu Public Folder Handler. Manipulacja umożliwia zdalny atak typu path traversal. Exploit został opublikowany.