CVE-2026-53433

WysokieCVSS 7.5

Opublikowano: 30/06/2026(UTC)Zaktualizowano: 02/07/2026(UTC)Przetłumaczono: 03/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Podatność w narzędziu fzf w trybie --listen powoduje odmowę usługi (DoS) z powodu nieefektywnego przetwarzania treści HTTP, które wykorzystuje wielokrotną konkatenację ciągów znaków, prowadząc do kwadratowej złożoności czasowej (O(n²)). Specjalnie spreparowane żądanie POST z wieloma małymi segmentami może wywołać nadmierne zużycie CPU, blokując jednowątkowy serwer HTTP i uniemożliwiając obsługę innych klientów.

Ocena ryzyka

Ryzyko polega na tym, że pojedyncze złośliwe żądanie może całkowicie zablokować działanie serwera HTTP w trybie --listen, powodując niedostępność usługi dla wszystkich pozostałych użytkowników.

Rekomendacja

Należy niezwłocznie zaktualizować narzędzie fzf do wersji 0.73.1 lub nowszej, która zawiera poprawkę eliminującą podatność.

Inne podatności w fzf

CVE-2026-53432Wysokie
W narzędziu fzf wykryto podatność na przepełnienie liczb całkowitych w funkcji FuzzyMatchV2. Gdy długość linii wejściowej wynosi około 2 200 000 bajtów, a długość wzorca 999 bajtów, dochodzi do przepełnienia, co powoduje nieprawidłowe granice wycinka. Środowisko uruchomieniowe Go wykrywa błąd i natychmiast kończy proces z nieodwracalną paniką.

Oryginalny opis (angielski, źródło NVD)

fzf is vulnerable to a Denial of Service (DoS) due to inefficient HTTP body processing in the --listen mode due to inefficient HTTP body processing using repeated string concatenation, resulting in quadratic time complexity (O(n²)). A crafted POST request with many small segments can trigger excessive CPU usage during request handling.This allows a single malicious request to monopolize the single‑threaded HTTP server, blocking all other clients and resulting in denial of service. This issue was fixed in version 0.73.1.