CVE-2026-86040
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
libp2p to implementacja stosu sieciowego libp2p w JavaScript. Przed wersją 11.0.26 @libp2p/floodsub akceptuje nieuwierzytelnione ramki RPC na /floodsub/1.0.0 przez PeerStreams.attachInboundStream bez limitów elementów protobuf, a następnie synchronicznie przetwarza tablicę subskrypcji bez limitu na ramkę. Pojedyncza ramka o ograniczonym rozmiarze może zdekodować się do milionów pustych wpisów subskrypcji blokujących pętlę zdarzeń, a setki tysięcy unikalnych tematów SUBSCRIBE alokują obiekty PeerSet w this.topics, które nie są usuwane po usunięciu lub zatrzymaniu peera. Puste wpisy powodują wyczerpanie CPU, ale nie zwiększają this.topics; trwały wzrost pamięci wymaga unikalnych tematów. Ścieżka subskrypcji omija walidację podpisu wiadomości i kolejkę przetwarzania tylko wiadomości, pozwalając zdalnemu peerowi na trwałą odmowę usługi CPU, wyczerpanie pamięci, zakończenie z powodu braku pamięci i niedostępność węzła. Problem został naprawiony w wersji 11.0.26.
Ocena ryzyka
Zdalny atakujący może spowodować trwałą odmowę usługi, wyczerpanie pamięci i niedostępność węzła libp2p, co może zakłócić działanie aplikacji rozproszonych.
Rekomendacja
Zaktualizuj @libp2p/floodsub do wersji 11.0.26 lub nowszej, która zawiera poprawki ograniczające przetwarzanie ramek i zarządzanie pamięcią.
Powiązane podatności
- CVE-2026-110720Krytyczne
consul-k8s w wersjach 0.42.0 i późniejszych zawiera obejście autoryzacji między przestrzeniami nazw w regułach wiązania ACL komponentów. Może to pozwolić atakującemu na uzyskanie podwyższonych uprawnień w Consulu.
- CVE-2026-10757Krytyczne
W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.
- CVE-2026-102649Krytyczne
Podatność w operatorze Kubernetes Burrito (Terraform Automation Collaboration Software) przed wersją 0.13.0 polega na tym, że endpoint POST /api/webhook akceptuje niepodpisane zdarzenia GitHub i GitLab, gdy poświadczenia TerraformRepository nie mają ustawionego webhookSecret lub jest on pusty. Umożliwia to osobie znającej URL śledzonego repozytorium sfałszowanie zdarzeń i utworzenie lub usunięcie zasobów TerraformPullRequest z wybranymi przez atakującego polami Branch, Base i ID. W przypadku zdarzeń pull_request z GitHuba kontroler pobiera zmienione pliki na podstawie prawdziwego numeru PR, ale nie weryfikuje gałęzi z payloadu, co może prowadzić do nieautoryzowanego terraform plan z użyciem przechowywanych poświadczeń git i chmurowych.
- CVE-2026-115905Krytyczne
W bibliotece zip dla Rusta do wersji 9.0.4 ZipArchive traktuje nazwy plików z nagłówka central directory jako wiążące, podczas gdy ZipStreamReader rozpakowuje przy użyciu nazw z lokalnego nagłówka pliku, bez uzgadniania zduplikowanych metadanych. Spreparowane archiwum może wyglądać nieszkodliwie dla komponentu sprawdzającego central directory, ale spowodować zapis innej ścieżki i zawartości przez ekstraktor strumieniowy.
- CVE-2026-112346Krytyczne
OpenHands Software Agent SDK przed wersją 1.52.0 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu. Launchery DockerWorkspace i Apptainer wiążą serwer agenta sandbox z wszystkimi interfejsami sieciowymi (0.0.0.0) z pustą listą session_api_keys, co domyślnie wyłącza uwierzytelnianie.
- CVE-2026-93328Krytyczne
W Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) w wersjach 1.2.0–1.4.0 występuje podatność typu path traversal oraz brak autoryzacji w źródle cloud-storage. Nieuwierzytelniony zdalny atakujący może eksfiltrować pliki hosta do zewnętrznych bucketów Google Cloud Storage oraz nadpisać dowolne pliki lokalne poprzez spreparowane parametry wywołania narzędzia.
- CVE-2026-77055Krytyczne
Obraz boneIO black_debian_images nadaje kontu usługi boneio nadmierne uprawnienia, w tym pełny dostęp sudo bez hasła oraz członkostwo w grupie docker. Lokalny atakujący, który przejmie konto boneio, może wykorzystać te uprawnienia do eskalacji do roota. Problem naprawiono w wersji 1.6.0.
- CVE-2026-65184Krytyczne
Demon terminal-bridge 'wsserver' działający z uprawnieniami roota buduje polecenie powłoki z pól WebSocket dostarczonych przez klienta i przekazuje je do system() oraz popen() bez cytowania, escapowania ani walidacji zestawu znaków. Ścieżka sesji z kluczem publicznym nie wykonuje żadnego sprawdzenia sesji urządzenia.
- CVE-2026-59107Krytyczne
W funkcji udostępniania plików vSolution Matrix wykryto lukę w zabezpieczeniach. Współdzielona konfiguracja zaufania kryptograficznego może pozwolić atakującemu, który zdobędzie pasujący klucz prywatny, na uwierzytelnienie się do urządzenia przez SSH jako root. Luka dotyczy wyłącznie urządzeń skonfigurowanych jako stacja główna/master vSolution Matrix z włączoną funkcją udostępniania plików.
- CVE-2026-59106Krytyczne
W implementacji interfejsu WolfProt wykryto lukę w zabezpieczeniach. Niewystarczająca neutralizacja danych kontrolowanych przez użytkownika może pozwolić nieuwierzytelnionemu atakującemu z dostępem do sieci na wykonanie poleceń systemu operacyjnego z uprawnieniami usługi aplikacji.
Oryginalny opis (angielski, źródło NVD)
libp2p is a JavaScript implementation of the libp2p networking stack. Prior to 11.0.26, @libp2p/floodsub accepts unauthenticated RPC frames on /floodsub/1.0.0 through PeerStreams.attachInboundStream in packages/floodsub/src/peer-streams.ts without protobuf element limits, then processRpc and processRpcSubOpt in packages/floodsub/src/floodsub.ts synchronously process the subscriptions array without a per-frame cap. A single bounded-size frame can decode into millions of empty subscription entries that block the event loop, while hundreds of thousands of unique-topic SUBSCRIBE entries allocate PeerSet objects in this.topics that are not removed after peer removal or stop. Empty entries cause CPU exhaustion but do not grow this.topics; persistent memory growth requires unique topics. The subscription path bypasses message signature validation and the message-only processing queue, allowing a remote peer to cause sustained CPU denial of service, memory exhaustion, out-of-memory termination, and node unavailability. The issue is fixed in version 11.0.26.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS