CVE-2026-84856

ŚrednieCVSS 5.3

Opublikowano: 02/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.70%

Percentyl 51 - wyżej niż 51% wszystkich znanych CVE

Streszczenie

Wykryto podatność na odmowę usługi w rowboatlabs rowboat do wersji 0.9.1, dotyczącą funkcji request.text/req.json w pliku apps/rowboat/app/api/composio/webhook/route.ts w komponencie Composio Webhook Endpoint. Atak może być przeprowadzony zdalnie. Wersja 0.9.2 usuwa problem, ale usuwa też starszą aplikację Next.js bez zabezpieczeń.

Ocena ryzyka

Zdalny atak może spowodować niedostępność usługi, co może wpłynąć na ciągłość działania aplikacji. Aktualizacja do 0.9.2 rozwiązuje problem, ale wymaga uwagi, ponieważ usuwa starszą aplikację.

Rekomendacja

Zaktualizuj rowboat do wersji 0.9.2 lub nowszej. Przed aktualizacją sprawdź, czy usunięcie starszej aplikacji Next.js nie wpłynie na funkcjonalność.

Inne podatności w rowboat

CVE-2026-86122Średnie
Rowboat do wersji 0.9.1 nie waliduje niestandardowych adresów URL serwera MCP i webhooków, co pozwala uwierzytelnionym użytkownikom konfigurować dowolne miejsca docelowe. Atakujący mogą kierować te adresy do usług wewnętrznych i punktów końcowych metadanych chmury, aby przeprowadzać ataki SSRF i mapować wewnętrzną topologię sieci.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in rowboatlabs rowboat up to 0.9.1. The impacted element is the function request.text/req.json of the file apps/rowboat/app/api/composio/webhook/route.ts of the component Composio Webhook Endpoint. The manipulation results in denial of service. It is possible to launch the attack remotely. The exploit is now public and may be used. Upgrading to version 0.9.2 is sufficient to resolve this issue. Upgrading the affected component is recommended. The legacy Next.js app was deleted at 0.9.2 rather than patched, leaving no security control behind.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS