CVE-2026-70656
Publiée le 2026-08-21 · Dernière modification le 2026-10-14
Les instances auto-hébergées de Checkmate, versions 3.5.1 à 3.9.2, sont vulnérables à une attaque par déni de service. Un attaquant disposant de privilèges d'administrateur peut saisir une expression régulière malveillante qui fige la boucle d'événements principale du serveur, entraînant le plantage des points de terminaison de l'API et des services de surveillance pour tous les utilisateurs. Cela nécessite un accès réseau et une authentification de haut niveau, mais aucune interaction d'un tiers n'est nécessaire pour déclencher le blocage.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Checkmate is an open-source, self-hosted tool designed to track and monitor server hardware, uptime, response times, and incidents in real-time with beautiful visualizations. From 3.5.1 until 3.9.2, an authenticated admin or superadmin can set matchMethod to regex and place a malicious expression in the expectedValue field for advanced HTTP monitor matching. server/src/api/validation/monitorValidation.ts accepts the expression, and server/src/service/network/AdvancedMatcher.ts synchronously evaluates it against an attacker-controlled HTTP response body on the Node.js main event loop without a timeout or worker isolation, allowing catastrophic backtracking to freeze API endpoints, monitor checks, and WebSocket connections for all users. This issue is fixed in version 3.9.2.