CVE-2026-59725
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w Socket.IO (wersje od 4.1.0 do 6.6.7) dotyczy protokołu Engine.IO v4 w transporcie polling. Nieprawidłowe zamykanie odpowiedzi HTTP dla nieprawidłowych binarnych żądań POST z Content-Type: application/octet-stream pozwala nieuwierzytelnionemu atakującemu wyczerpać połączenia i gniazda po stronie serwera.
Ocena ryzyka
Atakujący może przeprowadzić atak typu wyczerpanie zasobów (resource exhaustion), prowadząc do odmowy usługi (DoS) dla legalnych użytkowników aplikacji korzystających z Socket.IO.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Socket.IO do wersji 6.6.7 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w Socket.IO
Zobacz wszystkie- CVE-2026-69185Wysokie
Socket.IO umożliwia dwukierunkową komunikację o niskim opóźnieniu dla każdej platformy. Przed wersjami 4.2.7, 3.4.5 i 3.3.6, specjalnie spreparowany pakiet Socket.IO może spowodować, że serwer będzie czekał na dużą liczbę binarnych załączników i buforował je, co może być wykorzystane do wyczerpania pamięci serwera.
- CVE-2026-59724Wysokie
Podatność w bibliotece Socket.IO (wersje od 6.5.0 do 6.6.7) umożliwia atak DoS poprzez wysłanie spreparowanego identyfikatora sesji (np. __proto__) podczas procesu aktualizacji połączenia WebTransport. Błąd powoduje TypeError, co prowadzi do przerwania działania serwera.
Oryginalny opis (angielski, źródło NVD)
Socket.IO enables bidirectional and low-latency communication for every platform. From 4.1.0 before 6.6.7, Engine.IO protocol v4 polling transport does not properly close the HTTP response for invalid binary POST requests with Content-Type: application/octet-stream, allowing an unauthenticated attacker to exhaust server-side connections and sockets. This issue is fixed in version 6.6.7.