CVE-2026-82410

WysokieCVSS 8.7

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.58%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

PocketBase to open source'owy backend webowy napisany w Go. W wersjach przed 0.22.48 i 0.39.7 middleware odzyskiwania po panice obejmuje obsługę zwykłych żądań, ale nie wewnętrzne goroutines potomne i robocze. Panika w jednej z tych wewnętrznych goroutines może wymknąć się mechanizmowi odzyskiwania i zakończyć proces serwera, powodując odmowę usługi.

Ocena ryzyka

Atakujący może wywołać panikę w wewnętrznej goroutine, co doprowadzi do zatrzymania serwera PocketBase i niedostępności usługi dla wszystkich użytkowników.

Rekomendacja

Zaktualizuj PocketBase do wersji 0.22.48 lub 0.39.7, które wprowadzają routine.SafeWrap konwertujące odzyskane paniki na zwykłe błędy.

Inne podatności w PocketBase

CVE-2026-44166Wysokie
Pocketbase, otwarte źródło backendu webowego, ma podatność, która pozwala atakującemu na stworzenie i powiązanie niezweryfikowanego użytkownika, jeśli zna adres e-mail ofiary. Po zaproszeniu ofiary do aplikacji, użytkownik stworzony przez atakującego zostanie automatycznie powiązany i zweryfikowany.

Oryginalny opis (angielski, źródło NVD)

Pocketbase is an open source web backend written in go. Prior to 0.22.48 and 0.39.7, PocketBase's panic-recovery middleware covers regular request handling but not internal child and worker goroutines. A panic in one of these internal goroutines can escape recovery and terminate the server process, causing a denial of service. The remediation introduces routine.SafeWrap to convert recovered panics into regular errors and applies it to the affected internal worker functions. This issue is fixed in versions 0.22.48 and 0.39.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS