CVE-2026-38361
Publiée le 2026-05-08 · Dernière modification le 2026-06-17
Fohrloop dash-uploader (v0.1.0 à v0.7.0a2) est vulnérable à plusieurs attaques par déni de service en raison de la manière dont il gère les téléchargements de fichiers. Un attaquant distant et non authentifié peut faire planter le processus en provoquant des erreurs de manque de mémoire, effacer des fichiers cibles ou saturer l'espace disque de votre serveur en le surchargeant de répertoires temporaires. Comme cela ne nécessite ni authentification ni interaction de l'utilisateur, l'exécution via un réseau est relativement simple.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Multiple unauthenticated denial-of-service (DoS) issues in fohrloop dash-uploader v0.1.0 through v0.7.0a2. The chunked-upload handler (dash_uploader/httprequesthandler.py, dash_uploader/upload.py) trusts unsanitized, attacker-controlled upload parameters (e.g. flowTotalChunks) and does not enforce the documented max_file_size limit, allowing a remote, unauthenticated attacker to cause an out-of-memory (OOM) process crash (unbounded range(1, flowTotalChunks + 1) allocation), truncation of the target file to zero bytes (flowTotalChunks=0, where the all([]) == True quirk runs the file-assembly branch on zero chunks), permanent disk exhaustion (never-cleaned-up temporary directories per flowIdentifier), and a complete bypass of the documented max_file_size limit.