CVE-2026-53433
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w narzędziu fzf w trybie --listen powoduje odmowę usługi (DoS) z powodu nieefektywnego przetwarzania treści HTTP, które wykorzystuje wielokrotną konkatenację ciągów znaków, prowadząc do kwadratowej złożoności czasowej (O(n²)). Specjalnie spreparowane żądanie POST z wieloma małymi segmentami może wywołać nadmierne zużycie CPU, blokując jednowątkowy serwer HTTP i uniemożliwiając obsługę innych klientów.
Ocena ryzyka
Ryzyko polega na tym, że pojedyncze złośliwe żądanie może całkowicie zablokować działanie serwera HTTP w trybie --listen, powodując niedostępność usługi dla wszystkich pozostałych użytkowników.
Rekomendacja
Należy niezwłocznie zaktualizować narzędzie fzf do wersji 0.73.1 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w fzf
Zobacz wszystkie- CVE-2026-115319Niskie
fzf w wersjach 0.36.0–0.74.5 zawiera podatność na wyczerpanie zasobów (złożoność kwadratowa) w maskActionContents, umożliwiającą lokalnym atakującym zablokowanie serwera HTTP --listen. Wielokrotne wysyłanie ciał POST o rozmiarze ~1 MB do nieuwierzytelnionego portu localhost blokuje jednowątkowy serwer na około 30 sekund.
- CVE-2026-53432Wysokie
W narzędziu fzf wykryto podatność na przepełnienie liczb całkowitych w funkcji FuzzyMatchV2. Gdy długość linii wejściowej wynosi około 2 200 000 bajtów, a długość wzorca 999 bajtów, dochodzi do przepełnienia, co powoduje nieprawidłowe granice wycinka. Środowisko uruchomieniowe Go wykrywa błąd i natychmiast kończy proces z nieodwracalną paniką.
Oryginalny opis (angielski, źródło NVD)
fzf is vulnerable to a Denial of Service (DoS) due to inefficient HTTP body processing in the --listen mode due to inefficient HTTP body processing using repeated string concatenation, resulting in quadratic time complexity (O(n²)). A crafted POST request with many small segments can trigger excessive CPU usage during request handling.This allows a single malicious request to monopolize the single‑threaded HTTP server, blocking all other clients and resulting in denial of service. This issue was fixed in version 0.73.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS