CVE-2026-69185
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Socket.IO umożliwia dwukierunkową komunikację o niskim opóźnieniu dla każdej platformy. Przed wersjami 4.2.7, 3.4.5 i 3.3.6, specjalnie spreparowany pakiet Socket.IO może spowodować, że serwer będzie czekał na dużą liczbę binarnych załączników i buforował je, co może być wykorzystane do wyczerpania pamięci serwera.
Ocena ryzyka
Zdalny atakujący może spowodować wyczerpanie pamięci serwera, prowadząc do odmowy usługi (DoS).
Rekomendacja
Zaleca się aktualizację do wersji 4.2.7, 3.4.5 lub 3.3.6, które zawierają poprawkę.
Inne podatności w Socket.IO
Zobacz wszystkie- CVE-2026-59725Wysokie
Podatność w Socket.IO (wersje od 4.1.0 do 6.6.7) dotyczy protokołu Engine.IO v4 w transporcie polling. Nieprawidłowe zamykanie odpowiedzi HTTP dla nieprawidłowych binarnych żądań POST z Content-Type: application/octet-stream pozwala nieuwierzytelnionemu atakującemu wyczerpać połączenia i gniazda po stronie serwera.
- CVE-2026-59724Wysokie
Podatność w bibliotece Socket.IO (wersje od 6.5.0 do 6.6.7) umożliwia atak DoS poprzez wysłanie spreparowanego identyfikatora sesji (np. __proto__) podczas procesu aktualizacji połączenia WebTransport. Błąd powoduje TypeError, co prowadzi do przerwania działania serwera.
Oryginalny opis (angielski, źródło NVD)
Socket.IO enables bidirectional and low-latency communication for every platform. Prior to 4.2.7, 3.4.5, and 3.3.6, a specially crafted Socket.IO packet can make the server wait for a large number of binary attachments and buffer them, which can be exploited to make the server run out of memory. This vulnerability is fixed in 4.2.7, 3.4.5, and 3.3.6.