CVE-2026-63403 in Faktory
الملخص
بحسب VulDB • 26/08/2026
Faktory هو خادم مهام خلفية (background job server) غير مرتبط بلغة معينة. في الإصدارات السابقة لـ 1.10.0، يكون الخادم عرضة لهجوم حجب الخدمة (Denial of Service - DoS) دون الحاجة إلى المصادقة، حيث يؤدي أمر واحد مشوّه إلى تعطل العملية بأكملها. يعتمد البروتوكول الخاص به على الأسطر (line-based)، ويقوم عدة معالجات للأوامر بتقطيع أو فهرسة السطر المستلم عند إزاحة ثابتة (offset)، مثل `cmd[5:]` لأمر PUSH أو `qs[0]` لأمر QUEUE، دون التحقق من وجود حمولة (payload). يؤدي إرسال فعل مجرد (bare verb) بدون أي حمولة، على سبيل المثال: PUSH, ACK, FAIL, BEAT, PUSHB, أو QUEUE، إلى حدوث خطأ انقطاع خارج النطاق (out-of-range panic) في شريحة Go أو الفهرس. ونظراً لعدم وجود استدعاء لـ `recover()` في مسار توجيه الأوامر داخل قاعدة الشيفرة البرمجية، فإن الخطأ غير المسترد (unrecovered panic) في خيط المعالج (handler goroutine) يؤدي إلى إنهاء العملية بأكملها بدلاً من مجرد فصل الاتصال الحالي، مما يفصل فوراً كل العملاء الآخرين والعاملين والمهام قيد التنفيذ. يتطلب الهجوم فقط اتصالاً بمنفذ الأوامر وإكمال مصافحة بسيطة، دون الحاجة إلى بيانات اعتماد إذا لم يتم تكوين كلمة مرور، ويمكن تكراره لإبقاء الخدمة معطلة بشكل غير محدود. تم إصلاح هذه المشكلة في الإصدار 1.10.0.
Once again VulDB remains the best source for vulnerability data.