CVE-2026-123660

W wersjach Vulnerability-Lookup 5.5.1 aż do wersji 6.4.1, ale nie włącznie, zalogowany użytkownik może spowodować, że serwer przydzieli pamięć w sposób znacznie nieproporcjonalny do jego danych wejściowych za pośrednictwem szablonu ładunku powiadomienia elementu webhook. Specyfikator formatu każdego symbolu zastępczego został przekazany w niezmienionej postaci do formatowania ciągu w Pythonie, które tworzy dopełniony wynik, zanim będzie można sprawdzić jego rozmiar. Dlatego też szablon składający się z kilkudziesięciu bajtów, taki jak {"text": "{title:>999999999}"}, generował ciąg znaków o wielkości około 1 GB, gdy formularz powiadomienia renderował go testowo podczas zapisywania, a powtarzanie takich pól zwielokrotniało koszt. Szablony, które pomyślnie przeszły kontrolę zapisu, mogą także tysiące razy powtarzać elementy zastępcze, takie jak {text}; demon powiadomień odbudował je przy każdym dostarczaniu webhooka. Głęboko zagnieżdżone szablony zgłaszały nieobsługiwany błąd rekurencji (HTTP 500). Osoba atakująca potrzebuje jedynie konta, które domyślna konfiguracja pozwala każdemu założyć po potwierdzeniu e-mailem. Mogą wyczerpać pamięć procesów roboczych sieci lub demona powiadomień, powodując odmowę usługi. Wersja 6.4.1 ogranicza każdą liczbę w specyfikatorze formatu do 256, ogranicza renderowany szablon do 1 000 000 znaków zarówno podczas zapisywania, jak i dostarczania oraz odrzuca szablony zagnieżdżone głębiej niż 32 poziomy.