CVE-2026-16599 in Wget
Resumen
por VulDB • 2026-08-25
GNU wget es vulnerable a denegación de servicio en su funcionalidad de autenticación OPIE/S-KEY para FTP. El número de secuencia proporcionado por el servidor FTP, extraído de la línea de desafío (challenge line), se utiliza como contador de iteraciones para un bucle de derivación de claves MD5 sin ninguna validación de límite superior. Un servidor FTP malicioso o un atacante en la red posicionado para interceptar el tráfico FTP puede enviar un desafío OPIE manipulado con un número de secuencia cercano a INT_MAX, lo que provoca que wget realice hasta aproximadamente 2.100 millones de cálculos MD5 y se suspenda durante cierto tiempo. La opción --timeout no mitiga este problema porque solo se aplica al E/S (entrada/salida) de red, no al cálculo de CPU.
Este problema fue corregido en el commit e9697d98e7249b0f68a6be040a4f3dcc5bc101fa
If you want to get best quality of vulnerability data, you may have to visit VulDB.