CVE-2026-41040
WysokieStreszczenie
GROWI, dostarczany przez GROWI, Inc., jest podatny na atak typu denial of service (DoS) wykorzystujący wyrażenia regularne poprzez specjalnie przygotowany ciąg wejściowy.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeciążenia systemu, co może prowadzić do niedostępności usługi dla użytkowników.
Rekomendacja
Zaleca się przegląd i walidację danych wejściowych w celu zminimalizowania ryzyka ataków ReDoS.
Inne podatności w GROWI
Zobacz wszystkie- CVE-2026-41951Wysokie
W GROWI w wersji 7.5.0 i wcześniejszych występuje podatność na przejście ścieżki, która może umożliwić atakującemu wykonanie dowolnych szablonów EJS na serwerze, gdy serwer pocztowy jest uruchomiony w GROWI.
- CVE-2026-80191Wysokie
GROWI stosuje kontrolę uprawnień do przeglądania strony tylko wtedy, gdy żądanie załącznika zawiera uwierzytelnionego użytkownika. Funkcja retrieveAttachmentFromIdParam pomija kontrolę, gdy użytkownik jest null, więc żądanie bez sesji pomija kontrolę i zwraca plik. Nieuwierzytelniony atakujący, znając identyfikator załącznika, może pobrać plik, nawet jeśli strona jest prywatna. Wersja 8.0.2 sprawdza zarówno uwierzytelnionych, jak i nieuwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
GROWI provided by GROWI, Inc. is vulnerable to a regular expression denial of service (ReDoS) via a crafted input string.