CVE-2026-76235

WysokieCVSS 7.5

Opublikowano: 19/08/2026(UTC)Zaktualizowano: 25/08/2026(UTC)Przetłumaczono: 19/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

W produkcie cockpit-ws wykryto wyciek pamięci. Obsługa strony logowania przydziela pamięć na stercie przy każdym nieuwierzytelnionym żądaniu zawierającym ciasteczko CockpitLang, co pozwala zdalnemu atakującemu bez uwierzytelnienia wyczerpać pamięć hosta i spowodować odmowę usługi.

Ocena ryzyka

Atakujący może doprowadzić do wyczerpania pamięci i awarii usługi, co skutkuje niedostępnością systemu dla uprawnionych użytkowników.

Rekomendacja

Zastosuj poprawkę od producenta, która eliminuje wyciek pamięci, oraz rozważ ograniczenie dostępu do interfejsu logowania.

Inne podatności w cockpit-ws

CVE-2026-91147Średnie
W usłudze cockpit-ws występuje podatność na atak DoS. Zdalny, nieuwierzytelniony atakujący może wysłać specjalnie spreparowane żądanie, które w przypadku skonfigurowanego WebService.UrlRoot i braku końcowego ukośnika powoduje nieoczekiwane zakończenie działania usługi.

Oryginalny opis (angielski, źródło NVD)

A memory leak flaw was found in cockpit-ws. The login page handler leaks a heap allocation on every unauthenticated request that carries a CockpitLang cookie, allowing a remote unauthenticated attacker to exhaust memory on the host and cause a denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS