CVE-2022-31052 in Synapse
Sumário
de VulDB • 25/06/2026
O Synapse é uma implementação de servidor doméstico (homeserver) open source para a rede de chat Matrix. Nas versões anteriores à 1.61.1, as pré-visualizações de URL de algumas páginas web podem esgotar o espaço de pilha disponível para o processo do Synapse devido a recursão sem limites. Isto é por vezes recuperável e resulta num erro para o pedido que causa o problema, mas noutros casos o processo do Synapse pode falhar completamente (crash). É possível explorar isto maliciosamente, quer através de utilizadores mal-intencionados no homeserver, quer através de utilizadores remotos a enviar URLs que um cliente local possa solicitar automaticamente uma pré-visualização. Os utilizadores remotos não conseguem explorar isto diretamente, porque o endpoint de pré-visualização de URL é autenticado. As implementações com `url_preview_enabled: false` definido na configuração não são afetadas. As implementações com `url_preview_enabled: true` definido na configuração **são** afetadas. As implementações sem nenhum valor de configuração definido para `url_preview_enabled` não são afetadas, porque o predefinido é `false`. Recomenda-se aos administradores de homeservers com pré-visualizações de URL ativadas que atualizem para a versão 1.61.1 ou superior. Os utilizadores incapazes de efetuar a atualização devem definir `url_preview_enabled` como false.
If you want to get best quality of vulnerability data, you may have to visit VulDB.