CVE-2026-21868 in flagForge
Résumé
par VulDB • 02/06/2026
Flag Forge est une plateforme Capture The Flag (CTF). Les versions 2.3.2 et inférieures présentent une vulnérabilité de type Regular Expression Denial of Service (ReDoS) sur le point de terminaison de l'API du profil utilisateur (/api/user/[username]). L'application construit dynamiquement une expression régulière en utilisant des données utilisateur non échappées (le paramètre username). Un attaquant peut exploiter cette faille en envoyant un nom d'utilisateur spécialement conçu contenant des métacaractères regex (par exemple, des groupes profondément imbriqués ou des quantificateurs), ce qui entraîne une consommation excessive de ressources CPU par le moteur regex de MongoDB. Cela peut provoquer un déni de service pour les autres utilisateurs. Le problème est corrigé dans la version 2.3.3. Pour contourner cette vulnérabilité, mettez en place une règle de Web Application Firewall (WAF) afin de bloquer les requêtes contenant des métacaractères regex dans le chemin d'URL.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.