CVE-2026-62963
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Centrifugo przed wersją 6.8.4, w transporcie WebSocket jednokierunkowym z włączoną kompresją, ograniczenie rozmiaru wiadomości było stosowane przed dekompresją, a po dekompresji nie było limitu wyjściowego. Umożliwiało to nieuwierzytelnionym żądaniom do /connection/uni_websocket wywołanie dużego zużycia pamięci i CPU.
Ocena ryzyka
Atakujący może wysłać małe, skompresowane ramki WebSocket, które po dekompresji stają się bardzo duże, prowadząc do wyczerpania zasobów serwera i potencjalnej odmowy usługi (DoS).
Rekomendacja
Należy niezwłocznie zaktualizować Centrifugo do wersji 6.8.4 lub nowszej, która zawiera poprawkę ograniczającą rozmiar wiadomości po dekompresji.
Inne podatności w Centrifugo
Zobacz wszystkie- CVE-2026-71485Krytyczne
Centrifugo przed wersją 6.9.0 pozwala zdalnemu klientowi na sfałszowanie nagłówków, takich jak x-trusted-user, w wywołaniach proxy connect, refresh, subscribe, publish, RPC i pokrewnych, gdy backend polega na tym nagłówku do uwierzytelniania lub autoryzacji. Podatność wynika z kopiowania nagłówków kontrolowanych przez klienta do kontekstu połączenia i przekazywania ich jako zaufanych nagłówków backendu.
- CVE-2026-49998Wysokie
W Centrifugo przed wersją 6.8.1, weryfikacja dynamicznego punktu końcowego JWKS mogła ponownie użyć klucza dla jednego dozwolonego wystawcy do weryfikacji JWT dla innego dozwolonego wystawcy. Problem wynikał z tego, że pamięć podręczna JWKS i wyszukiwanie singleflight były kluczowane wyłącznie przez nagłówek JWT kid, a nie przez rozpoznany punkt końcowy JWKS, wystawcę, odbiorcę lub przestrzeń nazw domeny zaufania.
Oryginalny opis (angielski, źródło NVD)
Centrifugo is an open-source scalable real-time messaging server. Prior to 6.8.4, Centrifugo unidirectional WebSocket transport with uni_websocket.compression enabled enforced uni_websocket.message_size_limit against compressed wire-frame length in internal/websocket/conn.go advanceFrame, but ReadMessage used io.ReadAll after decompression without an output cap, allowing unauthenticated requests to /connection/uni_websocket to trigger large memory and CPU consumption. This issue is fixed in version 6.8.4.