CVE-2026-8769

ŚrednieCVSS 4.3

Opublikowano: 17/05/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.73%

Percentyl 53 - wyżej niż 53% wszystkich znanych CVE

Streszczenie

W vercel ai do wersji 3.0.97 wykryto podatność w funkcjach createJsonResponseHandler/createJsonErrorResponseHandler w pliku packages/provider-utils/src/response-handler.ts w komponencie provider-utils. Manipulacja prowadzi do nadmiernego zużycia zasobów, a atak można zainicjować zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Zdalny atakujący może wywołać nadmierne zużycie zasobów, prowadząc do odmowy usługi lub degradacji wydajności aplikacji. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.

Rekomendacja

Zaktualizuj vercel ai do wersji nowszej niż 3.0.97 lub zastosuj poprawkę producenta, gdy będzie dostępna. Do czasu aktualizacji ogranicz ekspozycję API i monitoruj zużycie zasobów.

Inne podatności w vercel ai

CVE-2026-8767Średnie
W bibliotece vercel ai do wersji 3.0.97 wykryto podatność w funkcji run w pliku .github/workflows/prettier-on-automerge.yml, związanej z interpolacją nazwy gałęzi PR. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można zainicjować zdalnie, choć jego złożoność jest wysoka, a wykorzystanie uznaje się za trudne.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in vercel ai up to 3.0.97. The impacted element is the function createJsonResponseHandler/createJsonErrorResponseHandler of the file packages/provider-utils/src/response-handler.ts of the component provider-utils. This manipulation causes resource consumption. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS