CVE-2026-50013

WysokieCVSS 7.5

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Hoverfly to otwartoźródłowe narzędzie do symulacji API. W wersjach przed 1.12.8, gdy Hoverfly działa w trybie Diff, funkcja AddDiff() zapisuje do współdzielonej mapy responsesDiff bez żadnej synchronizacji (brak mutexa). Przy równoczesnym przetwarzaniu wielu żądań proxy równoczesne zapisy do mapy wywołują wbudowany detektor wyścigów Go, powodując błąd fatal error: concurrent map read and map write i natychmiastowe zabicie całego procesu Hoverfly.

Ocena ryzyka

Podatność jest trywialnie wykorzystywana przez wysłanie wielu jednoczesnych żądań, co prowadzi do odmowy usługi (DoS). Każde wdrożenie Hoverfly w trybie Diff jest narażone.

Rekomendacja

Zaktualizuj Hoverfly do wersji 1.12.8 lub nowszej, która zawiera poprawkę. Do czasu aktualizacji rozważ ograniczenie równoczesnych żądań lub wyłączenie trybu Diff.

Inne podatności w Hoverfly

CVE-2026-50018Średnie
Hoverfly w wersjach przed 1.12.8 używa http.DefaultClient bez konfiguracji limitu czasu dla zdalnych akcji post-serve. Gdy zdalny punkt końcowy jest nieosiągalny lub celowo powolny, każde wywołane żądanie proxy tworzy goroutine, która blokuje się na czas nieokreślony na http.DefaultClient.Do().

Oryginalny opis (angielski, źródło NVD)

Hoverfly is an open source API simulation tool. Prior to version 1.12.8, when Hoverfly is running in Diff mode, the `AddDiff()` function writes to the shared `responsesDiff` map without any synchronization (no mutex). When multiple proxy requests are processed concurrently (the normal case for any proxy), the concurrent map writes trigger Go's built-in race detector which causes a `fatal error: concurrent map read and map write`, immediately killing the entire Hoverfly process. This is trivially exploitable by sending multiple simultaneous requests. Version 1.12.8 patches the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS