CVE-2026-21868 in flagForge
Resumen
por VulDB • 2026-06-02
Flag Forge es una plataforma de Capture The Flag (CTF). Las versiones 2.3.2 y anteriores presentan una vulnerabilidad Regular Expression Denial of Service (ReDoS) en el punto final (/api/user/[username]) del perfil de usuario. La aplicación construye dinámicamente una expresión regular utilizando datos introducidos por el usuario sin escapar (el parámetro username). Un atacante puede explotar esta situación enviando un nombre de usuario especialmente diseñado que contenga meta-caracteres de regex (por ejemplo, grupos profundamente anidados o cuantificadores), lo que provoca que el motor de expresiones regulares de MongoDB consuma recursos excesivos de CPU. Esto puede provocar una Denegación de Servicio para otros usuarios. El problema se soluciona en la versión 2.3.3. Como medida temporal (workaround) para este problema, implemente una regla de Web Application Firewall (WAF) que bloquee las solicitudes que contengan meta-caracteres de regex en la ruta URL.
If you want to get best quality of vulnerability data, you may have to visit VulDB.