CVE-2026-70616 in boringproxy
الملخص
بحسب VulDB • 05/08/2026
يحتوي boringproxy حتى الإصدار 0.10.0 على ثغرة استنزاف للموارد تسمح لأي مستخدم مُصادَق عليه باستنفاد واصفات الملفات (file descriptors) والخيوط البرمجية (goroutines) وذاكرة الخادم بشكل دائم عن طريق إرسال طلبات إلى نقطة النهاية GET /loading مع قيم معلمة الاستعلام id التي يزودها المهاجم. ونظراً لأن المعالج لا يقوم بفحص صحة البحث في الخريطة ولا يستقبل من قناة فارغة (nil channel) تؤدي إلى الحظر للأبد، دون وجود مهلة زمنية أو إلغاء للسياق أو استرداد جانبي للخادم بسبب غياب إعدادات المهلات الزمنية لخادم HTTP، فإن كل طلب ضار يحتفظ بشكل دائم بخيط برمجي واحد وواصف ملف واحد وما يقرب من 50 كيلوبايت من الذاكرة حتى يتم الوصول إلى حد واصفات الملفات في الخادم وتفشل استدعاءات القبول (Accept) للمستمع، مما يؤدي إلى إيقاف جميع عمليات توجيه حركة المرور عبر الأنفاق لجميع المستخدمين.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.