CVE-2026-44981

WysokieCVSS 8.2

Opublikowano: 16/07/2026(UTC)Zaktualizowano: 17/07/2026(UTC)Przetłumaczono: 18/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

CrowdSec w wersjach od 1.7.0 do 1.7.8 zawiera podatność w routerze LAPI, który globalnie używa gin-contrib/gzip z DefaultDecompressHandle. Powoduje to dekompresję nieskompresowanych żądań JSON bez ograniczenia maksymalnego rozmiaru, co prowadzi do nadmiernej alokacji pamięci i uniemożliwia dostęp do LAPI.

Ocena ryzyka

Atakujący może wysłać specjalnie spreparowane żądanie gzip, powodując wyczerpanie pamięci i niedostępność usługi LAPI, co zakłóca ochronę przed złośliwymi IP.

Rekomendacja

Należy niezwłocznie zaktualizować CrowdSec do wersji 1.7.8 lub nowszej, która zawiera poprawkę ograniczającą rozmiar dekompresowanych danych.

Inne podatności w CrowdSec

CVE-2026-44982Wysokie
Podatność w CrowdSec od wersji 1.5.0 do 1.7.8 powoduje, że żądania HTTP/1.1 z kodowaniem Transfer-Encoding: chunked oraz żądania HTTP/2 bez nagłówka Content-Length są przetwarzane z pustym buforem ciała żądania. W rezultacie reguły WAF dotyczące REQUEST_BODY, BODY_ARGS, ARGS_POST, JSON lub XML są pomijane.

Oryginalny opis (angielski, źródło NVD)

CrowdSec offers crowdsourced protection against malicious IPs. From 1.7.0 until 1.7.8, the LAPI router used gin-contrib/gzip with DefaultDecompressHandle globally in pkg/apiserver/controllers/controller.go, causing /v1/watchers and /v1/watchers/login to decompress unauthenticated gzip-compressed JSON request bodies without enforcing a maximum decompressed size and allowing excessive heap allocation that can make LAPI unreachable. This issue is fixed in version 1.7.8.