CVE-2026-55241
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Checkmate przed wersją 3.9.1 zawiera podatność na wyczerpanie pamięci w publicznym punkcie końcowym rejestracji. Niezautentykowany atakujący może wysłać wiele jednoczesnych, zbyt dużych plików, które są buforowane przed walidacją, co prowadzi do przeciążenia pamięci i awarii backendu.
Ocena ryzyka
Atak może spowodować niedostępność usługi (DoS) i destabilizację systemu, co wpływa na monitorowanie infrastruktury.
Rekomendacja
Zaktualizuj Checkmate do wersji 3.9.1 lub nowszej, która zawiera poprawkę.
Inne podatności w Checkmate
Zobacz wszystkie- CVE-2026-36102Niskie ryzyko· EPSS 12%
Problem w komponencie inviteController.js w Bluewave Labs Checkmate w wersji 3.3.0 i wcześniejszych. Zdalny uwierzytelniony administrator może eskalować uprawnienia do superadmina poprzez parametr role w punkcie końcowym /api/v1/invite.
- CVE-2026-71862Wysokie
Checkmate od wersji 3.3.0 do 3.9.2, przy włączonym globalnym ustawieniu showURL, powoduje, że nieuwierzytelniony endpoint GET /api/v1/status-page/:url zwraca kompletne obiekty monitorów, w tym pole secret używane jako poświadczenie HTTP Authorization, mimo że nie jest ono wyświetlane w interfejsie.
- CVE-2026-70656Średnie
W wersjach od 3.5.1 do 3.9.2 narzędzia Checkmate, uwierzytelniony administrator lub superadministrator może ustawić matchMethod na regex i umieścić złośliwe wyrażenie w polu expectedValue dla zaawansowanego dopasowywania monitora HTTP. Wyrażenie to jest oceniane synchronicznie na głównej pętli zdarzeń Node.js bez limitu czasu lub izolacji wątku, co pozwala na katastrofalne cofanie się (backtracking) i zamrożenie punktów API, kontroli monitorów oraz połączeń WebSocket dla wszystkich użytkowników. Problem został naprawiony w wersji 3.9.2.
- CVE-2026-72588Średnie
Podatność na enumerację użytkowników w bluewave-labs/Checkmate do wersji 2.1.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu określenie, czy dany adres e-mail jest zarejestrowany. Endpoint POST /api/v1/auth/recovery/request zwraca HTTP 200 dla zarejestrowanych adresów e-mail i inny kod statusu dla niezarejestrowanych, co umożliwia atakującym enumerację prawidłowych kont użytkowników.
Oryginalny opis (angielski, źródło NVD)
Checkmate is an open-source, self-hosted tool designed to track and monitor server hardware, uptime, response times, and incidents in real-time with beautiful visualizations. Prior to 3.9.1, the public POST /api/v1/auth/register route in server/src/api/routes/authRoutes.ts passes multipart profileImage uploads through in-memory Multer parsing before registration validation, without file-size, file-count, or MIME-type limits in server/src/api/middleware/upload.ts. An unauthenticated attacker can submit concurrent oversized files that are buffered before invalid registration or invite-token checks reject the request, exhausting memory and crashing or destabilizing the backend. This issue is fixed in version 3.9.1.