CVE-2026-40036

WysokieCVSS 7.5

Opublikowano: 08/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.51%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

Unfurl przed wersją 2026.04 zawiera podatność na nieograniczoną dekompresję zlib w pliku parse_compressed.py. Atakujący może przesłać silnie skompresowane dane przez parametry URL do endpointu /json/visjs, które po dekompresji zajmują gigabajty, powodując wyczerpanie pamięci serwera i odmowę usługi.

Ocena ryzyka

Atak DoS może unieruchomić usługę Unfurl, powodując niedostępność dla legalnych użytkowników.

Rekomendacja

Zaleca się aktualizację Unfurl do wersji 2026.04 lub nowszej, która ogranicza rozmiar dekompresowanych danych.

Inne podatności w Unfurl

CVE-2026-40035Krytyczne
Unfurl do wersji 2025.08 zawiera podatność na nieprawidłową walidację danych wejściowych w parsowaniu konfiguracji, która domyślnie włącza tryb debugowania Flask. Wartość konfiguracji debugowania jest odczytywana jako ciąg znaków i przekazywana bezpośrednio do app.run(), co powoduje, że każdy niepusty ciąg znaków jest interpretowany jako prawda, umożliwiając atakującym dostęp do debuggera Werkzeug.

Oryginalny opis (angielski, źródło NVD)

Unfurl before 2026.04 contains an unbounded zlib decompression vulnerability in parse_compressed.py that allows remote attackers to cause denial of service. Attackers can submit highly compressed payloads via URL parameters to the /json/visjs endpoint that expand to gigabytes, exhausting server memory and crashing the service.