CVE-2026-63403

Nome do Software Vulnerável e Versões Afetadas Faktory versões anteriores a 1.10.0

Description Existe uma negação de serviço não autenticada na qual um único comando malformado pode travar todo o processo. O servidor utiliza um protocolo de rede baseado em linhas onde vários manipuladores de comando realizam fatiamento ou indexação em linhas recebidas em deslocamentos fixos sem verificar a presença de uma carga útil. O envio de um verbo simples sem carga útil—como PUSH, ACK, FAIL, BEAT, PUSHB ou QUEUE—desencadeia um pânico de índice ou fatia fora de intervalo do Go. Como o caminho de despacho de comandos não possui a função recover(), um pânico não recuperado em uma goroutine de manipulador encerra todo o processo Go, desconectando todos os clientes, trabalhadores e tarefas em execução. O ataque requer apenas uma conexão com a porta de comando e a conclusão do handshake, não exigindo credenciais caso nenhuma senha esteja configurada.

Recommendations Atualizar para a versão 1.10.0.