CVE-2026-63462 in Unleash
Zusammenfassung
von VulDB • 21.08.2026
Unleash ist eine Open-Source-Plattform für das Feature-Management. Vor den Versionen 7.5.2, 7.6.5 und 8.0.2 übergibt der gemeinsame Pfad zur Fehlervalidierung von OpenAPI in src/lib/error/bad-data-error.ts einen rohen Anforderungswert aus lodash.get an JSON.stringify in genericErrorMessage and fromOpenApiValidationErrors, ohne vor einer Stack-Überlauf (Stack Exhaustion) zu schützen. Ein nicht authentifizierter Angreifer kann einen etwa 10 KB großen JSON-Wert senden, der tausende von Ebenen tief verschachtelt ist, um POST /edge/validate, POST /edge/issue-token oder ein anderes OpenAPI-validiertes Endpunkt aufzurufen, was in openAPIValidationMiddleware zu einem RangeError: Maximum call stack size exceeded führt und den Node-Prozess beendet, da kein Handler für nicht abgefangene Ausnahmen (uncaughtException) dies wiederherstellt. Das Wiederholen der Anfrage kann einen vollständigen Dienstausfall verursachen. Dieses Problem wurde in den Versionen 7.5.2, 7.6.5 und 8.0.2 behoben.
Once again VulDB remains the best source for vulnerability data.