CVE-2026-91137
WysokieCVSS 8.7Streszczenie
W bibliotece Apache Thrift w komponencie PHP bindings występuje nieprawidłowa walidacja ilości w danych wejściowych, alokacja zasobów bez ograniczeń oraz nadmierna iteracja. Podatność dotyczy wersji Apache Thrift wcześniejszych niż 0.25.0.
Ocena ryzyka
Może to prowadzić do wyczerpania zasobów systemowych (np. pamięci, CPU) przez atakującego, powodując odmowę usługi. Organizacje używające Apache Thrift PHP są narażone na ataki DoS.
Rekomendacja
Zaktualizuj Apache Thrift do wersji 0.25.0, która naprawia tę podatność.
Inne podatności w Apache Thrift
Zobacz wszystkie- CVE-2026-96990Wysokie
Podatność polegająca na alokacji zasobów bez limitów lub ograniczeń w powiązaniach Erlang Apache Thrift. Brak ograniczeń może prowadzić do wyczerpania zasobów. Problem dotyczy wersji przed 0.25.0.
- CVE-2026-94651Wysokie
Podatność w powiązaniach Java Apache Thrift polegająca na nieprawidłowym obsługiwaniu wyjątkowych warunków oraz braku zwolnienia zasobów po zakończeniu ich życia. Problem dotyczy wersji przed 0.25.0.
- CVE-2026-94650Wysokie
Podatność niekontrolowanej rekurencji w powiązaniach c_glib Apache Thrift. Nadmierna rekurencja może prowadzić do przepełnienia stosu i awarii procesu. Problem dotyczy wersji przed 0.25.0.
- CVE-2026-94645Wysokie
Podatność w powiązaniach nodejs Apache Thrift polegająca na nieprawidłowej walidacji ilości w danych wejściowych oraz alokacji zasobów bez limitów. Problem dotyczy wersji przed 0.25.0.
- CVE-2026-94644Wysokie
Podatność alokacji zasobów bez limitów lub ograniczeń w powiązaniach PHP Apache Thrift. Brak limitów może prowadzić do wyczerpania zasobów. Problem dotyczy wersji przed 0.25.0.
- CVE-2026-94642Wysokie
Podatność nieprzechwyconego wyjątku w powiązaniach PHP Apache Thrift. Nieobsłużony wyjątek może prowadzić do nieoczekiwanego zakończenia działania aplikacji. Problem dotyczy wersji przed 0.25.0.
- CVE-2026-94633Wysokie
Podatność w powiązaniach Dart Apache Thrift polegająca na alokacji pamięci o nadmiernym rozmiarze oraz nieprawidłowym obsługiwaniu niezgodności parametru długości. Problem dotyczy wersji przed 0.25.0.
- CVE-2026-93926Wysokie
Podatność w THeaderTransport Apache Thrift polegająca na braku zwolnienia pamięci i zasobów po zakończeniu ich życia. Problem dotyczy wersji przed 0.25.0.
- CVE-2026-93925Wysokie
W bibliotece Apache Thrift w komponencie C++ THeaderProtocol występuje przepełnienie bufora na stosie oraz nieprawidłowe przesunięcie bitowe liczb całkowitych. Podatność dotyczy wersji Apache Thrift wcześniejszych niż 0.25.0.
- CVE-2026-85494Wysokie
W bibliotece Apache Thrift w wielu bindingach językowych (Python, Ruby, Erlang, Lua, Dart, JavaME, Perl, PHP, D) występuje nieprawidłowa obsługa niespójności parametru długości, nieprzechwycony wyjątek, nieefektywna złożoność algorytmiczna, alokacja pamięci o nadmiernym rozmiarze oraz inicjalizacja zasobu z niezabezpieczoną wartością domyślną. Podatność dotyczy wersji Apache Thrift wcześniejszych niż 0.25.0.
Oryginalny opis (angielski, źródło NVD)
Improper validation of specified quantity in input, Allocation of resources without limits or throttling, Excessive Iteration vulnerability in Apache Thrift PHP bindings. This issue affects Apache Thrift: before 0.25.0. Users are recommended to upgrade to version 0.25.0, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS