CWE-1050

Biblioteka league/commonmark w wersjach od 0.6.0 do 2.9.0 jest podatna na atak wyczerpania zasobów CPU poprzez specjalnie spreparowane dane Markdown. Atakujący może spowodować nieproporcjonalnie wysokie zużycie procesora, co skutkuje odmową usługi (DoS).

ws is an open source WebSocket client and server for Node.js. All versions from 1.1.0 up to (but not including) 5.2.5, from 6.0.0 up to 6.2.4, from 7.0.0 up to 7.5.11, and from 8.0.0 up to 8.21.0 are affected by a memory exhaustion DoS vulnerability. A peer can send a high volume of exceptionally small fragments and data chunks, with modest network traffic, to force the remote peer into allocating and holding structural wrappers that consume far more memory than the default documented message-size limit, leading to process termination due to OOM. This issue has been fixed in versions 5.2.5, 6.2.4, 7.5.11, and 8.21.0.

A flaw was found in Keycloak. An unauthenticated attacker can exploit this vulnerability by sending a specially crafted POST request with an excessively long scope parameter to the OpenID Connect (OIDC) token endpoint. This leads to high resource consumption and prolonged processing times, ultimately resulting in a Denial of Service (DoS) for the Keycloak server.

A Denial of Service (DoS) vulnerability in evershop 2.1.0 and prior allows unauthenticated attackers to exhaust the application server's resources via the "GET /images" API. The application fails to limit the height of the use-element shadow tree or the dimensions of pattern tiles during the processing of SVG files, resulting in unbounded resource consumption and system-wide denial of service.

ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Versions prior to 2.9.10 contain a denial of service vulnerability similar to GHSA-859r-vvv8-rm8r/CVE-2025-47947. The `sanitiseArg` (and `sanitizeArg` - this is the same action but an alias) is vulnerable to adding an excessive number of arguments, thereby leading to denial of service. Version 2.9.10 fixes the issue. As a workaround, avoid using rules that contain the `sanitiseArg` (or `sanitizeArg`) action.

ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Versions up to and including 2.9.8 are vulnerable to denial of service in one special case (in stable released versions): when the payload's content type is `application/json`, and there is at least one rule which does a `sanitiseMatchedBytes` action. A patch is available at pull request 3389 and expected to be part of version 2.9.9. No known workarounds are available.

The NPM package `braces`, versions prior to 3.0.3, fails to limit the number of characters it can handle, which could lead to Memory Exhaustion. In `lib/parse.js,` if a malicious user sends "imbalanced braces" as input, the parsing will enter a loop, which will cause the program to start allocating heap memory without freeing it at any moment of the loop. Eventually, the JavaScript heap limit is reached, and the program will crash.

A remote denial of service vulnerability was found in the Linux kernel’s TIPC kernel module. The while loop in tipc_link_xmit() hits an unknown state while attempting to parse SKBs, which are not in the queue. Sending two small UDP packets to a system with a UDP bearer results in the CPU utilization for the system to instantly spike to 100%, causing a denial of service condition.

In versions 1.6 to 2.0.11 of Eclipse Mosquitto, an MQTT v5 client connecting with a large number of user-property properties could cause excessive CPU usage, leading to a loss of performance and possible denial of service.

NLnet Labs Unbound do wersji 1.25.0 włącznie zawiera podatność podczas obsługi odpowiedzi z bardzo dużymi RRsets, dla których Unbound musi wykonać kompresję nazw. Złośliwe odpowiedzi upstream z bardzo dużymi RRsets zawierającymi rekordy, które nie dzielą wspólnego sufiksu powyżej roota, mogą spowodować, że Unbound poświęci znaczną ilość czasu na zastosowanie kompresji nazw w odpowiedziach downstream. Może to prowadzić do obniżenia wydajności i ostatecznie do denial of service w dobrze skoordynowanych atakach. Atak polega na wysłaniu do Unbound zapytania o zawartość złośliwej strefy z bardzo dużymi RRsets — Unbound będzie próbować zastosować kompresję nazw w nieograniczonej operacji blokującej CPU, dopóki pakiet nie zostanie ukończony. Limit kompresji wprowadzony w wersji 1.21.1 nie uwzględniał przypadku, gdy rekordy nie mają wspólnego sufiksu powyżej roota, co

NLnet Labs Unbound w wersji 1.25.0 i wcześniejszych jest podatny na atak powodujący degradację usługi związany z przetwarzaniem długich list przychodzących opcji EDNS. Atakujący wysyłając zapytania z zbyt wieloma opcjami EDNS może blokować wątki Unbound podczas przetwarzania i tworzenia wewnętrznych struktur danych dla tych opcji. Skoordynowane ataki mogą prowadzić do degradacji i/lub odmowy usługi. Unbound 1.25.1 zawiera łatkę ograniczającą akceptowalne przychodzące opcje EDNS do 100.

The Kubernetes API Server component in versions 1.1-1.14, and versions prior to 1.15.10, 1.16.7 and 1.17.3 allows an authorized user who sends malicious YAML payloads to cause the kube-apiserver to consume excessive CPU cycles while parsing YAML.

Suricata to sieciowy silnik IDS, IPS i NSM. Od wersji 8.0.0 do wersji 8.0.3 nieefektywność w parsowaniu nagłówków http1 może prowadzić do spowolnienia w obrębie wielu pakietów. Wersja 8.0.3 łata ten problem. Nie ma znanych obejść.

A flaw was found in libsoup. The implementation of HTTP range requests is vulnerable to a resource consumption attack. This flaw allows a malicious client to request the same range many times in a single HTTP request, causing the server to use large amounts of memory. This does not allow for a full denial of service.

Suricata to sieciowy silnik IDS, IPS i NSM. Przed wersjami 8.0.3 i 7.0.14 różne nieefektywności w obsłudze XFF, szczególnie dla alertów nie wyzwalanych w tx, mogły prowadzić do poważnych spowolnień. Wersje 8.0.3 i 7.0.14 zawierają łatę. Jako obejście można wyłączyć obsługę XFF w konfiguracji eve. To ustawienie jest domyślnie wyłączone.

Sieve CPU resource usage is tracked in the compiled script, so an attacker that has valid credentials can reset the accounting by repeatedly changing the active script. Compiled script files are also not removed when a script is deleted or renamed. The configured Sieve CPU limit can be bypassed, allowing sustained CPU consumption, and the leftover files increase disk consumption. Both can cause degradation of service for mail delivery. Monitor system for abnormal CPU usage and disk consumption. Update to non-vulnerable version. No publicly available exploits are known.