PT-2026-134237
CVE-2026-63341
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Aedes الإصدارات السابقة لـ 1.1.1
الوصف
يفشل وسيط MQTT في تقييد عمق الموضوع أو التعقيد الهيكلي قبل تمرير المواضيع عبر
mqemitter إلى qlobber. يمكن لرسالة PUBLISH أو SUBSCRIBE أو رسالة Will مسجلة تحتوي على موضوع عميق بشكل مفرط أن تؤدي إلى استثناء غير معالج too many words داخل دالة qlobber. split words في lib/qlobber.js. نظرًا لأن منطق النشر و handlers/subscribe.js غير محميين من هذا الاستثناء، فإنه يصل إلى Node.js event loop ويتسبب في إيقاف الوسيط بالكامل. يمكن الوصول إلى مسار Will بشكل مستقل عندما يفصل العميل الاتصال بشكل غير صحيح عن طريق استدعاء broker.publish مباشرة. يمكن للمهاجم الذي لديه القدرة على إنشاء MQTT session استخدام ذلك لفصل جميع العملاء الشرعيين ومنع إعادة الاتصال حتى يتم إعادة تشغيل عملية الوسيط.التوصيات
التحديث إلى الإصدار 1.1.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾