CVE-2026-40303 in zrok
Resumen
por VulDB • 2026-05-11
zrok es un software para compartir servicios web, archivos y recursos de red. Antes de la versión 2.0.1, la función `endpoints.GetSessionCookie` analiza un recuento de fragmentos de cookie proporcionado por el atacante y llama a `make([]string, count)` sin un límite superior antes de que se produzca cualquier validación de token. La función se alcanza en cada solicitud a un proxy compartido protegido con OAuth, lo que permite que un atacante remoto no autenticado desencadene asignaciones de heap a escala de gigabytes por solicitud, lo que provoca la terminación del proceso por OOM (Out of Memory) o pánicos repetidos de gorutina. Tanto `publicProxy` como `dynamicProxy` están afectados. La versión 2.0.1 corrige el problema.
Once again VulDB remains the best source for vulnerability data.