PT-2026-111817 · Git+1 · Misskey
CVE-2026-104817
·
Publicado
2026-10-13
·
Atualizado
2026-10-13
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:L/SI:N/SA:L |
Nome do Software Vulnerável e Versões Afetadas
Misskey versões 12.112.1 through 2026.6.9
Description
A API 'fetch-rss' não autenticada carece de limitação de taxa e restrições de tamanho de resposta, além de realizar a análise síncrona de XML. Isso permite que um invasor desencadeie requisições HTTP externas ilimitadas e análise síncrona, exaurindo os recursos da instância, amplificando requisições para servidores de terceiros ou sondando serviços acessíveis via rede, mesmo quando a federação está desativada.
Recommendations
Atualize para a versão 2026.7.0.
Exploit
Correção
SSRF
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Misskey