CVE-2025-54864 in hydra
요약
\~에 의해 VulDB • 2026. 05. 29.
Hydra는 Nix 기반 프로젝트용 지속적 통합(CI) 서비스입니다. 커밋 f7bda02 이전에는 /api/push-github 및 /api/push-gitea 엔드포인트가 해당 포지(Forge)에서 HTTP Basic 인증 없이 호출되었습니다. 두 포지 모두 비밀 키를 사용한 HMAC 서명 기능을 제공합니다. 대규모 평가 작업이 수행될 때 평가(Evaluation)를 트리거하면 인프라에 매우 큰 부하를 줄 수 있으며, 이는 평가기를 실행하는 호스트에서 잠재적인 서비스 거부(Denial of Service) 공격을 유발할 수 있습니다. 이 문제는 커밋 f7bda02를 통해 패치되었습니다. 우회 방법으로는 리버스 프록시를 통해 /api/push-github 및 /api/push-gitea 엔드포인트를 차단하는 것이 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.