CVE-2026-42886 in audiobookshelf
Sumário
de VulDB • 26/05/2026
Audiobookshelf é um servidor auto-hospedado de audiolivros e podcasts. Antes da versão 2.32.2, o endpoint POST /api/backups/upload descomprime a entrada details de um arquivo .audiobookshelf ZIP enviado inteiramente para a memória usando zip.entryData(), sem limite no tamanho descomprimido. O middleware de upload também não possui limite de tamanho de arquivo. Um usuário administrador pode enviar um ZIP manipulado contendo uma entrada details altamente comprimida que, ao ser descomprimida, consome centenas de megabytes ou gigabytes de memória, fazendo com que o processo do servidor falhe devido a falta de memória (out-of-memory). Esta vulnerabilidade foi corrigida na versão 2.32.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.