CVE-2026-41146
WysokieStreszczenie
facil.io przed commit 5128747363055201d3ecf0e29bf0a961703c9fa0 ma podatność na nieskończoną pętlę w funkcji `fio_json_parse` przy napotkaniu zagnieżdżonej wartości JSON zaczynającej się od 'i' lub 'I'. Proces zużywa 100% jednego rdzenia CPU zamiast zwrócić błąd parsowania. Ponieważ `iodine` używa tego samego kodu, również jest podatny.
Ocena ryzyka
Ryzyko obejmuje atak DoS poprzez wyczerpanie zasobów CPU, co może prowadzić do niedostępności usług dla innych użytkowników.
Rekomendacja
Zaleca się aktualizację facil.io do wersji zawierającej poprawkę (commit 5128747363055201d3ecf0e29bf0a961703c9fa0) oraz aktualizację `iodine` jeśli jest używany. Należy również ograniczyć przetwarzanie niezaufanych danych JSON.
Inne podatności w facil.io
Zobacz wszystkie- CVE-2026-66731Wysokie
Podatność w facil.io w wersjach 0.7.5 do 0.7.6 w parserze kodowania transferu fragmentarycznego HTTP/1.1 pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii serwera poprzez wysłanie ujemnego rozmiaru fragmentu. Atakujący może wysłać pojedyncze żądanie POST z nagłówkiem Transfer-Encoding: chunked zawierającym znak minus w polu rozmiaru fragmentu, co powoduje obliczenie dużej liczby całkowitej z zanegowanej wartości, uszkodzenie stanu wewnętrznego i przesunięcie wskaźnika odczytu do niezmapowanej pamięci, skutkujące błędem.
- CVE-2026-66730Wysokie
Podatność w facil.io w wersjach 0.6.0 do 0.7.6 w parserze treści multipart pozwala nieuwierzytelnionym zdalnym atakującym na trwałe zablokowanie procesów roboczych przy 100% użyciu CPU poprzez wysłanie żądania multipart/form-data z częściowym zamykającym separatorem. Brak zabezpieczenia postępu w pętli parsera powoduje, że http_mime_parse zwraca 0 bajtów bez ustawienia flag done lub error, co prowadzi do nieskończonego wywoływania parsera na tym samym buforze, wyczerpując wszystkie procesy robocze i trwale wyłączając serwer do czasu ręcznego restartu.
- CVE-2026-66729Wysokie
facil.io w wersjach od 0.6.0 do 0.7.6 zawiera podatność polegającą na niedomiarze liczby całkowitej w parserze treści MIME multipart, która pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii procesu serwera poprzez wysłanie spreparowanego nagłówka Content-Disposition z pustą nazwą pola. Atakujący może wywołać zawinięcie uint32_t w http_mime_parser.h, prowadzące do odczytu pamięci poza zakresem wskaźnika nazwy, co skutkuje błędem magistrali i awarią wątku roboczego przy pojedynczym żądaniu POST.
- CVE-2026-16653Średnie
W projekcie boazsegev facil.io do wersji 0.7.58 włącznie wykryto podatność na path traversal w funkcji http_sendfile2 pliku lib/facil/http/http.c komponentu Public Folder Handler. Manipulacja umożliwia zdalny atak typu path traversal. Exploit został opublikowany.
- CVE-2026-16632Wysokie
W bibliotece facil.io do wersji 0.7.4 stwierdzono podatność w funkcji websocket_on_protocol_error w pliku websocket_parser.h. Manipulacja argumentem on_message prowadzi do nieprawidłowej walidacji wejścia, co może być wykorzystane zdalnie. Projekt nie odpowiedział na zgłoszenie problemu.
Oryginalny opis (angielski, źródło NVD)
facil.io is a C micro-framework for web applications. Prior to commit 5128747363055201d3ecf0e29bf0a961703c9fa0, `fio_json_parse` can enter an infinite loop when it encounters a nested JSON value starting with `i` or `I`. The process spins in user space and pegs one CPU core at ~100% instead of returning a parse error. Because `iodine` vendors the same parser code, the issue also affects `iodine` when it parses attacker-controlled JSON. The smallest reproducer I found is `[i`. The quoted-value form that originally exposed the issue, `[""i`, reaches the same bug because the parser tolerates missing commas and then treats the trailing `i` as the start of another value. Commit 5128747363055201d3ecf0e29bf0a961703c9fa0 fixes the issue.