Podatności GoAccess
3 znanych podatności CVE w GoAccess, przetłumaczonych i ocenionych.
- CVE-2026-55777Średnie
GoAccess przed wersją 1.11 zawiera podatność w funkcji parse_ios(), która używa kontrolowanego przez atakującego przesunięcia słowa kluczowego do systemu operacyjnego jako źródła przesunięcia i długości kopiowania dla memmove. Pozwala to na odczytanie do około 4 KB poza przydziałem sterty i potencjalne awaryjne zakończenie GoAccess przy użyciu spreparowanego User-Agent w przetwarzanym logu dostępu.
- CVE-2026-55768Wysokie
W GoAccess przed wersją 1.11, wbudowany serwer WebSocket zawęża 64-bitową długość ramki do 32-bitowego pola WSFrame.payloadlen przed sprawdzeniem maksymalnego rozmiaru ramki. Nieuwierzytelniony zdalny klient może ominąć zabezpieczenie i wymusić alokację około 18 eksabajtów, co powoduje zakończenie procesu.
- CVE-2026-54715Wysokie
W GoAccess w wersji 1.10.2, funkcja parse_browser zakłada, że dopasowany token przeglądarki zaczyna się od 'Opera' i przesuwa końcowy podciąg wersji o pięć znaków. Pozwala to na zapisanie od jednego do czterech bajtów kontrolowanych przez atakującego poza przydzieloną pamięcią sterty, co może uszkodzić dane lub spowodować awarię GoAccess.