PT-2026-81882
CVE-2026-63403
·
تاريخ النشر
2026-08-25
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Faktory الأقدم من 1.10.0
الوصف
توجد ثغرة «رفض الخدمة» دون مصادقة، حيث يمكن لأمر واحد مشوه أن يتسبب في تعطل العملية بأكملها. يستخدم الخادم بروتوكول اتصال قائم على الأسطر، حيث تقوم عدة معالجات للأوامر بتقسيم أو فهرسة الأسطر المستلمة عند إزاحات ثابتة دون التحقق من وجود حمولة. يؤدي إرسال فعل عاري بدون حمولة — مثل PUSH أو ACK أو FAIL أو BEAT أو PUSHB أو QUEUE — إلى إثارة حالة ذعر في Go بسبب تقطيع أو فهرسة خارج النطاق. ونظرًا لأن مسار إرسال الأوامر يفتقر إلى دالة
recover()، فإن حالة الذعر غير المستردة في goroutine المعالج تؤدي إلى إنهاء عملية Go بأكملها، مما يؤدي إلى قطع الاتصال بجميع العملاء والعاملين والمهام الجارية. لا يتطلب الهجوم سوى اتصال بمنفذ الأوامر وإتمام عملية المصافحة، ولا يتطلب أي بيانات اعتماد إذا لم يتم تكوين كلمة مرور.التوصيات
التحديث إلى الإصدار 1.10.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾