CVE-2026-73232
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
ffuf, szybki fuzzer webowy napisany w Go, przed wersją 2.2.0 pozwala złośliwemu serwerowi docelowemu na wywołanie odmowy usługi przez brak limitu rozmiaru zdekompresowanych odpowiedzi. Ochrona sprawdza tylko skompresowaną długość Content-Length, podczas gdy io.ReadAll czyta odpowiedzi gzip, brotli, deflate, transparentnie zdekompresowane lub chunked bez ograniczenia rozmiaru.
Ocena ryzyka
Atakujący może spowodować wyczerpanie pamięci i awarię narzędzia ffuf, co może zakłócić testy bezpieczeństwa lub operacje.
Rekomendacja
Zaktualizuj ffuf do wersji 2.2.0 lub nowszej, która naprawia tę podatność. Dodatkowo ogranicz rozmiar odpowiedzi i monitoruj użycie pamięci.
Oryginalny opis (angielski, źródło NVD)
ffuf is a fast web fuzzer written in Go. Prior to 2.2.0, ffuf allows a malicious target server to cause an out-of-memory denial of service because the response size guard in pkg/runner/simple.go checks only the compressed Content-Length while io.ReadAll reads gzip, brotli, deflate, transparently decompressed, or chunked response bodies without a decompressed-size bound. This issue is fixed in version 2.2.0.