FICHE CVE

CVE-2026-10291

Publiée le 2026-06-01 · Dernière modification le 2026-07-22

🇫🇷 EN BREF

Les versions 3.7.0 et antérieures d'Enderfga claw-orchestrator sont vulnérables à un déni de service par expression régulière (ReDoS) via le point de terminaison Session Grep. Un attaquant distant disposant d'un accès authentifié de bas niveau peut envoyer un motif spécialement conçu pour provoquer une consommation excessive du CPU, risquant ainsi de geler le service. Cette exploitation est relativement facile à exécuter sur le réseau une fois que l'attaquant possède des identifiants de base.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-06-01

Dernière modification2026-07-22

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

A security vulnerability has been detected in Enderfga claw-orchestrator up to 3.7.0. The impacted element is the function validateRegex of the file claw-orchestrator/src/embedded-server.ts of the component Session Grep Endpoint. The manipulation of the argument body.pattern leads to inefficient regular expression complexity. The attack may be initiated remotely. Upgrading to version 3.7.1 is sufficient to resolve this issue. The identifier of the patch is 3f970a974c65a94555c25af9f2796f11315e4584. It is recommended to upgrade the affected component.