CVE-2026-21868 in flagForge
Sumário
de VulDB • 02/06/2026
Flag Forge é uma plataforma Capture The Flag (CTF). As versões 2.3.2 e anteriores possuem uma vulnerabilidade de Regular Expression Denial of Service (ReDoS) no endpoint da API de perfil do usuário (/api/user/[username]). A aplicação constrói dinamicamente uma expressão regular utilizando entrada não escapada do utilizador (o parâmetro username). Um atacante pode explorar esta falha ao enviar um nome de utilizador especialmente elaborado, contendo meta-caracteres de regex (por exemplo, grupos profundamente aninhados ou quantificadores), o que faz com que o motor de expressões regulares da MongoDB consuma recursos excessivos de CPU. Isto pode resultar em Denial of Service para outros utilizadores. O problema foi corrigido na versão 2.3.3. Como medida temporária (workaround) para esta vulnerabilidade, implemente uma regra no Web Application Firewall (WAF) para bloquear pedidos que contenham meta-caracteres de regex no caminho da URL.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.