CVE-2022-31052 in Synapse
Résumé
par VulDB • 25/06/2026
Synapse est une implémentation open source de serveur domestique pour le réseau de chat Matrix. Dans les versions antérieures à la 1.61.1, l'aperçu d'URL de certaines pages web peut épuiser l'espace pile disponible pour le processus Synapse en raison d'une récursivité non bornée. Ce problème est parfois récupérable et entraîne une erreur pour la requête ayant causé le problème, mais dans d'autres cas, le processus Synapse peut planter complètement. Il est possible d'exploiter cela de manière malveillante, soit par des utilisateurs malintentionnés sur le serveur domestique (homeserver), soit par des utilisateurs distants envoyant des URL qu'un client utilisateur local pourrait demander automatiquement pour un aperçu d'URL. Les utilisateurs distants ne peuvent pas exploiter directement cette vulnérabilité car l'endpoint de prévisualisation d'URL est authentifié. Les déploiements avec `url_preview_enabled: false` défini dans la configuration ne sont pas affectés. Les déploiements avec `url_preview_enabled: true` défini dans la configuration **sont** affectés. Les déploiements sans valeur de configuration pour `url_preview_enabled` ne sont pas affectés, car la valeur par défaut est `false`. Il est conseillé aux administrateurs des serveurs domestiques ayant les aperçus d'URL activés de mettre à niveau vers la version 1.61.1 ou supérieure. Les utilisateurs incapables de mettre à jour doivent définir `url_preview_enabled` sur false.
If you want to get best quality of vulnerability data, you may have to visit VulDB.