CVE-2026-49234
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W Routinator wysłanie specjalnie spreparowanego, nie-UTF-8 ciągu znaków jako parametru select-asn w zapytaniu do endpointu /api/v1/origins powoduje awarię programu. Podatność dotyczy tylko użytkowników, którzy zezwalają na dostęp API z niezaufanych sieci.
Ocena ryzyka
Organizacja narażona jest na ataki DoS, które mogą zakłócić działanie Routinatora, jeśli API jest dostępne z niezaufanych sieci.
Rekomendacja
Zaleca się ograniczenie dostępu do API Routinatora wyłącznie do zaufanych sieci oraz aktualizację do wersji zawierającej poprawkę.
Inne podatności w Routinator
Zobacz wszystkie- CVE-2026-49235Wysokie
Podatność w Routinator powoduje crash przy napotkaniu pliku RRDP z specjalnie spreparowaną definicją typu dokumentu (DTD).
- CVE-2026-49233Wysokie
Routinator nieprawidłowo sprawdza komponent modułu w URI rsync, które są używane do tworzenia ścieżek systemu plików dla pamięci podręcznej Routinator. Umożliwia to przechodzenie poza katalog (path traversal) poprzez umieszczenie w nazwie modułu sekwencji .., potencjalnie dając atakującemu dostęp do całej pamięci podręcznej rsync Routinator.
- CVE-2026-49232Wysokie
Routinator kończy działanie przy każdym błędzie podczas akceptowania połączeń HTTP lub RTR, w tym błędach możliwych do odzyskania, takich jak wyczerpanie deskryptorów plików. Atakujący może celowo otworzyć wiele połączeń, aby wywołać ten stan.
Oryginalny opis (angielski, źródło NVD)
When sending a specifically crafted non-UTF-8 string as select-asn query parameter to the /api/v1/origins endpoint, Routinator crashes. This only affects users who allow API access from untrusted networks.