CVE-2026-50018

ŚrednieCVSS 6.5

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.54%

Percentyl 43 - wyżej niż 43% wszystkich znanych CVE

Streszczenie

Hoverfly w wersjach przed 1.12.8 używa http.DefaultClient bez konfiguracji limitu czasu dla zdalnych akcji post-serve. Gdy zdalny punkt końcowy jest nieosiągalny lub celowo powolny, każde wywołane żądanie proxy tworzy goroutine, która blokuje się na czas nieokreślony na http.DefaultClient.Do().

Ocena ryzyka

Atakujący może spowodować nieograniczoną akumulację goroutine prowadzącą do wyczerpania pamięci i awarii procesu (zabicie przez OOM). Wymaga to jedynie adresu URL wskazującego na nieodpowiadający punkt końcowy.

Rekomendacja

Zaktualizować Hoverfly do wersji 1.12.8, która naprawia ten problem.

Inne podatności w Hoverfly

CVE-2026-50013Wysokie
Hoverfly to otwartoźródłowe narzędzie do symulacji API. W wersjach przed 1.12.8, gdy Hoverfly działa w trybie Diff, funkcja AddDiff() zapisuje do współdzielonej mapy responsesDiff bez żadnej synchronizacji (brak mutexa). Przy równoczesnym przetwarzaniu wielu żądań proxy równoczesne zapisy do mapy wywołują wbudowany detektor wyścigów Go, powodując błąd fatal error: concurrent map read and map write i natychmiastowe zabicie całego procesu Hoverfly.

Oryginalny opis (angielski, źródło NVD)

Hoverfly is an open source API simulation tool. Prior to version 1.12.8, remote post-serve actions use `http.DefaultClient` without any timeout configuration. When the remote endpoint is unreachable or intentionally slow (accepts TCP connection but never responds), each triggered proxy request spawns a goroutine that blocks indefinitely on `http.DefaultClient.Do()`. An attacker can cause unbounded goroutine accumulation leading to memory exhaustion and process crash (OOM kill). Unlike local post-serve action execution, this requires no binary execution, only a URL pointing to a non-responsive endpoint. Version 1.12.8 patches the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS