FICHE CVE

CVE-2026-103937

Publiée le 2026-10-13 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les instances Misskey utilisant les versions 13.0.0 à 2026.7.0 (à l'exception de la version 2025.4.1) sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut provoquer le plantage du serveur ou saturer son espace de stockage en téléchargeant des fichiers de manière répétée, car le système ne parvient pas à supprimer correctement ces fichiers. Cette attaque est facile à exécuter et ne nécessite aucun privilège spécial ni interaction de la part de l'utilisateur.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-459

Publiée2026-10-13

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Misskey is an open source, federated social media platform. From 13.0.0 until 2025.4.1 and from 2025.5.0 until 2026.7.0, cleanup processing may not execute during file uploads. Repeated uploads can exhaust storage or file descriptors and deny service regardless of whether federation is enabled. This issue is fixed in version 2026.7.0.