CVE-2026-70656
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W wersjach od 3.5.1 do 3.9.2 narzędzia Checkmate, uwierzytelniony administrator lub superadministrator może ustawić matchMethod na regex i umieścić złośliwe wyrażenie w polu expectedValue dla zaawansowanego dopasowywania monitora HTTP. Wyrażenie to jest oceniane synchronicznie na głównej pętli zdarzeń Node.js bez limitu czasu lub izolacji wątku, co pozwala na katastrofalne cofanie się (backtracking) i zamrożenie punktów API, kontroli monitorów oraz połączeń WebSocket dla wszystkich użytkowników. Problem został naprawiony w wersji 3.9.2.
Ocena ryzyka
Atakujący może spowodować odmowę usługi (DoS) poprzez zamrożenie kluczowych funkcji narzędzia, co wpływa na dostępność monitorowania i reakcji na incydenty dla wszystkich użytkowników.
Rekomendacja
Zaleca się aktualizację Checkmate do wersji 3.9.2 lub nowszej, która zawiera poprawkę eliminującą podatność na katastrofalne cofanie się.
Inne podatności w Checkmate
Zobacz wszystkie- CVE-2026-36102Niskie ryzyko· EPSS 12%
Problem w komponencie inviteController.js w Bluewave Labs Checkmate w wersji 3.3.0 i wcześniejszych. Zdalny uwierzytelniony administrator może eskalować uprawnienia do superadmina poprzez parametr role w punkcie końcowym /api/v1/invite.
- CVE-2026-71862Wysokie
Checkmate od wersji 3.3.0 do 3.9.2, przy włączonym globalnym ustawieniu showURL, powoduje, że nieuwierzytelniony endpoint GET /api/v1/status-page/:url zwraca kompletne obiekty monitorów, w tym pole secret używane jako poświadczenie HTTP Authorization, mimo że nie jest ono wyświetlane w interfejsie.
- CVE-2026-55241Wysokie
Checkmate przed wersją 3.9.1 zawiera podatność na wyczerpanie pamięci w publicznym punkcie końcowym rejestracji. Niezautentykowany atakujący może wysłać wiele jednoczesnych, zbyt dużych plików, które są buforowane przed walidacją, co prowadzi do przeciążenia pamięci i awarii backendu.
- CVE-2026-72588Średnie
Podatność na enumerację użytkowników w bluewave-labs/Checkmate do wersji 2.1.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu określenie, czy dany adres e-mail jest zarejestrowany. Endpoint POST /api/v1/auth/recovery/request zwraca HTTP 200 dla zarejestrowanych adresów e-mail i inny kod statusu dla niezarejestrowanych, co umożliwia atakującym enumerację prawidłowych kont użytkowników.
Oryginalny opis (angielski, źródło NVD)
Checkmate is an open-source, self-hosted tool designed to track and monitor server hardware, uptime, response times, and incidents in real-time with beautiful visualizations. From 3.5.1 until 3.9.2, an authenticated admin or superadmin can set matchMethod to regex and place a malicious expression in the expectedValue field for advanced HTTP monitor matching. server/src/api/validation/monitorValidation.ts accepts the expression, and server/src/service/network/AdvancedMatcher.ts synchronously evaluates it against an attacker-controlled HTTP response body on the Node.js main event loop without a timeout or worker isolation, allowing catastrophic backtracking to freeze API endpoints, monitor checks, and WebSocket connections for all users. This issue is fixed in version 3.9.2.