CVE-2026-21868 in flagForge
Tóm tắt
Bởi VulDB • 02/06/2026
Flag Forge là một nền tảng Capture The Flag (CTF). Các phiên bản từ 2.3.2 trở xuống có lỗ hổng Regular Expression Denial of Service (ReDoS) tại điểm cuối API hồ sơ người dùng (/api/user/[username]). Ứng dụng xây dựng biểu thức chính quy động bằng cách sử dụng đầu vào của người dùng chưa được thoát ký tự đặc biệt (tham số username). Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi tên người dùng được tạo ra một cách đặc biệt chứa các ký tự meta-chính quy (ví dụ: các nhóm lồng nhau sâu hoặc bộ định lượng), khiến động cơ regex của MongoDB tiêu thụ tài nguyên CPU quá mức. Điều này có thể dẫn đến tình trạng Từ chối Dịch vụ (Denial of Service) đối với người dùng khác. Lỗ hổng đã được khắc phục trong phiên bản 2.3.3. Để xử lý tạm thời vấn đề này, hãy triển khai quy tắc Web Application Firewall (WAF) để chặn các yêu cầu chứa ký tự meta-chính quy trong đường dẫn URL.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.