CVE-2026-84161
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Gdy operator włączy store.analytic_statistics_dir, klient sieciowy z uprawnieniami PRODUCT_STORE dla produktu może wywołać metodę storeAnalyticStatistics Thrift-over-HTTP tego produktu. CodeChecker 6.29.0 dekoduje kontrolowany przez atakującego ciąg Base64 i przekazuje cały skompresowany sygnał wejściowy do jednorazowej funkcji zlib.decompress(). Nie jest wymuszany żaden maksymalny rozmiar po dekompresji.
Daje to prawidłowo autoryzowanemu kontu sklepu niebędącemu superużytkownikiem prymitywne wzmocnienie pamięci o wysokim współczynniku i dysku trwałego. Kompletne dane wyjściowe są najpierw materializowane jako obiekt Python bytes, a następnie zapisywane w skonfigurowanym katalogu statystyk. Wystarczająco skalowany ładunek może wyczerpać pamięć procesu roboczego API lub hosta i pogorszyć dostępność narzędzia CodeChecker.
Dostarczona wartość store.analytic_statistics_dir ma wartość null, więc funkcja, której dotyczy problem, jest domyślnie wyłączona. Podstawowa ocena nie opiera się na wyłączeniu uwierzytelniania. W tym raporcie nie ma żadnego obejścia autoryzacji ani przekroczenia ścieżki.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org