CRITICAL🇬🇧 English

CVE-2024-22393

Apache Answer — atak Pixel Flood przez nieograniczony upload pliku

CVSS 9.1v3.1pub. 2024-02-22upd. 2025-05-05

Podatność w Apache Answer umożliwia zalogowanemu użytkownikowi przeprowadzenie ataku Pixel Flood poprzez przesłanie obrazu o bardzo dużej liczbie pikseli. Skutkuje to wyczerpaniem pamięci serwera (out of memory), co prowadzi do niedostępności usługi.

Pokaż oryginał (EN)

Unrestricted Upload of File with Dangerous Type vulnerability in Apache Answer.This issue affects Apache Answer: through 1.2.1. Pixel Flood Attack by uploading large pixel files will cause server out of memory. A logged-in user can cause such an attack by uploading an image when posting content. Users are recommended to upgrade to version [1.2.5], which fixes the issue.

🤖 Analiza AI
Jak działa

Aplikacja Apache Answer nie nakłada odpowiednich ograniczeń na typ ani rozmiar przesyłanych plików graficznych (CWE-434 — Unrestricted Upload of File with Dangerous Type). Zalogowany użytkownik może podczas dodawania treści przesłać obraz o ekstremalnie dużej liczbie pikseli. Podczas przetwarzania takiego pliku serwer próbuje zaalokować ogromną ilość pamięci operacyjnej, co prowadzi do jej wyczerpania (tzw. atak Pixel Flood). W rezultacie serwer staje się niedostępny dla innych użytkowników.

Skutki

Atakujący może doprowadzić do wyczerpania pamięci serwera i tym samym do odmowy usługi (DoS) dla wszystkich użytkowników platformy. Integralność danych może być również naruszona przez nieskontrolowane przesyłanie niebezpiecznych typów plików.

Mitygacja

Należy zaktualizować Apache Answer do wersji 1.2.5 lub nowszej, która zawiera poprawkę eliminującą opisaną podatność.

Kogo dotyczy

Apache Answer w wersjach do 1.2.1 włącznie.

CVSS Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
  • Apache Answer

    APP
    Apache
    < 1.2.5
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
CWE
Referencje

Powiązane podatności

CVE-2026-25700HIGH7.2ten sam produkt

Improper Restriction of Security Token Assignment vulnerability in Apache Answer. This issue affects Apache A...

CVE-2026-24735HIGH7.5ten sam produkt

Exposure of Private Personal Information to an Unauthorized Actor vulnerability in Apache Answer. This issue ...

CVE-2026-25688MEDIUM6.1ten sam produkt

Improper Neutralization of Alternate XSS Syntax vulnerability in Apache Answer. This issue affects Apache Ans...

CVE-2026-25699MEDIUM6.1ten sam produkt

Exposure of Private Personal Information to an Unauthorized Actor vulnerability in Apache Answer. This issue ...

CVE-2026-33582MEDIUM6.5ten sam produkt

Unrestricted Upload of File with Dangerous Type vulnerability in Apache Answer. This issue affects Apache Ans...