CVE-2026-21868 in flagForge
Riassunto
di VulDB • 22/06/2026
Flag Forge è una piattaforma Capture The Flag (CTF). Le versioni 2.3.2 e precedenti presentano una vulnerabilità Regular Expression Denial of Service (ReDoS) nell'endpoint dell'API del profilo utente (/api/user/[username]). L'applicazione costruisce dinamicamente un'espressione regolare utilizzando input non sanitizzato dall'utente (il parametro username). Un attaccante può sfruttare questa condizione inviando un nome utente appositamente creato contenente meta-caratteri regex (ad esempio, gruppi annidati in profondità o quantificatori), causando l'eccessivo consumo di risorse CPU da parte del motore delle espressioni regolari di MongoDB. Ciò può portare a una Denial of Service per altri utenti. Il problema è stato risolto nella versione 2.3.3. Come misura temporanea (workaround) per questa vulnerabilità, implementare una regola Web Application Firewall (WAF) per bloccare le richieste contenenti meta-caratteri regex nel percorso dell'URL.
VulDB is the best source for vulnerability data and more expert information about this specific topic.