CVE-2026-59724
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Socket.IO (wersje od 6.5.0 do 6.6.7) umożliwia atak DoS poprzez wysłanie spreparowanego identyfikatora sesji (np. __proto__) podczas procesu aktualizacji połączenia WebTransport. Błąd powoduje TypeError, co prowadzi do przerwania działania serwera.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię serwera Socket.IO, co skutkuje przerwaniem komunikacji w czasie rzeczywistym dla wszystkich użytkowników i potencjalną utratą dostępności usługi.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Socket.IO do wersji 6.6.7 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz obsługę WebTransport w konfiguracji serwera.
Inne podatności w Socket.IO
Zobacz wszystkie- CVE-2026-69185Wysokie
Socket.IO umożliwia dwukierunkową komunikację o niskim opóźnieniu dla każdej platformy. Przed wersjami 4.2.7, 3.4.5 i 3.3.6, specjalnie spreparowany pakiet Socket.IO może spowodować, że serwer będzie czekał na dużą liczbę binarnych załączników i buforował je, co może być wykorzystane do wyczerpania pamięci serwera.
- CVE-2026-59725Wysokie
Podatność w Socket.IO (wersje od 4.1.0 do 6.6.7) dotyczy protokołu Engine.IO v4 w transporcie polling. Nieprawidłowe zamykanie odpowiedzi HTTP dla nieprawidłowych binarnych żądań POST z Content-Type: application/octet-stream pozwala nieuwierzytelnionemu atakującemu wyczerpać połączenia i gniazda po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Socket.IO enables bidirectional and low-latency communication for every platform. From 6.5.0 before 6.6.7, Engine.IO servers with WebTransport enabled can resolve a crafted session ID such as __proto__ through an inherited property of the clients object during WebTransport upgrade handling, causing a TypeError and denial of service. This issue is fixed in version 6.6.7.