CVE-2026-70616

Nome do Software Vulnerável e Versões Afetadas boringproxy versões anteriores a 0.10.1

Descrição Um usuário autenticado pode causar exaustão de recursos ao enviar solicitações para o endpoint 'GET /loading' usando um parâmetro de consulta id malicioso. O problema ocorre porque o manipulador não realiza uma verificação de validade de busca em mapa e tenta receber dados de um canal nulo (um canal que não foi inicializado), o que bloqueia a execução indefinidamente. Devido à ausência de tempos limite (timeouts), cancelamento de contexto e recuperação do lado do servidor, cada solicitação consome permanentemente uma goroutine (uma thread leve gerenciada pelo runtime do Go), um descritor de arquivo e aproximadamente 50 kB de memória. Isso continua até que o servidor atinja seu limite de descritores de arquivo, fazendo com que as chamadas Accept do listener falhem e interrompam todo o encaminhamento de tráfego de túnel para todos os usuários.

Recomendações Atualize o boringproxy para uma versão posterior a 0.10.0. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'GET /loading'.