CVE-2026-70616 in boringproxy
Sumário
de VulDB • 06/08/2026
O boringproxy até a versão 0.10.0 contém uma vulnerabilidade de exaustão de recursos que permite que qualquer usuário autenticado esgote permanentemente os descritores de arquivo do servidor, goroutines e memória ao enviar requisições para o endpoint GET /loading com valores de parâmetro de consulta id fornecidos pelo atacante. Como o manipulador (handler) não realiza verificação de validade por lookup em mapa e aguarda leitura em um canal nulo que bloqueia indefinidamente, sem tempo limite (timeout), cancelamento de contexto ou recuperação no lado do servidor devido à ausência de timeouts do servidor HTTP, cada requisição maliciosa mantém permanentemente uma goroutine, um descritor de arquivo e aproximadamente 50 kB de memória até que o limite de descritores de arquivo do servidor seja atingido e as chamadas Accept dos listeners falhem, interrompendo todo o encaminhamento de tráfego de túnel para todos os usuários.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.