CVE-2026-21868
WysokieStreszczenie
Flag Forge w wersjach 2.3.2 i niższych ma podatność ReDoS (Regular Expression Denial of Service) w punkcie API profilu użytkownika (/api/user/[username]). Aplikacja dynamicznie konstruuje wyrażenie regularne z nieucieczonego wejścia użytkownika (parametr username). Atakujący może wykorzystać to, wysyłając specjalnie spreparowaną nazwę użytkownika zawierającą metaznaki regex (np. głęboko zagnieżdżone grupy lub kwantyfikatory), co powoduje nadmierne zużycie CPU przez silnik regex MongoDB. Może to prowadzić do odmowy usługi dla innych użytkowników. Problem naprawiono w wersji 2.3.3. Obejściem jest wdrożenie reguł WAF blokujących żądania z metaznakami regex w ścieżce URL.
Ocena ryzyka
Ryzyko niedostępności platformy dla innych użytkowników z powodu przeciążenia CPU.
Rekomendacja
Zaktualizuj Flag Forge do wersji 2.3.3 lub nowszej. Jeśli nie jest to możliwe, wdróż reguły WAF blokujące żądania z metaznakami regex w URL.
Inne podatności w Flag Forge
Zobacz wszystkie- CVE-2025-61777Krytyczne
Platforma Flag Forge w wersjach od 2.0.0 do przed 2.3.2 miała endpointy `/api/admin/badge-templates` (GET) i `/api/admin/badge-templates/create` (POST) dostępne bez uwierzytelnienia i autoryzacji. Umożliwiało to nieautoryzowanym użytkownikom pobieranie szablonów odznak wraz z metadanymi oraz tworzenie dowolnych szablonów w bazie danych. Luka została naprawiona w wersji 2.3.2.
- CVE-2025-59841Krytyczne
Flag Forge (platforma CTF) w wersjach od 2.2.0 do przed 2.3.1 nieprawidłowo obsługuje unieważnianie sesji. Uwierzytelnieni użytkownicy mogą nadal uzyskiwać dostęp do chronionych punktów końcowych, takich jak /api/profile, nawet po wylogowaniu. Tokeny CSRF są również nadal ważne po wylogowaniu, co może pozwolić na nieautoryzowane działania. Problem naprawiono w wersji 2.3.1.
- CVE-2025-59932Wysokie
Flag Forge to platforma Capture The Flag (CTF). Od wersji 2.0.0 do przed 2.3.1, punkt końcowy /api/resources umożliwiał wysyłanie żądań POST i DELETE bez odpowiedniego uwierzytelnienia lub autoryzacji. Mogło to umożliwić nieautoryzowanym użytkownikom tworzenie, modyfikowanie lub usuwanie zasobów na platformie. Problem został naprawiony w wersji FlagForge 2.3.1.
- CVE-2025-59843Średnie
Platforma CTF Flag Forge w wersjach od 2.0.0 do przed 2.3.2 ujawnia adresy e-mail użytkowników w odpowiedzi JSON publicznego punktu końcowego /api/user/[username]. Poprawka dostępna od wersji 2.3.2 usuwa adresy e-mail z publicznych odpowiedzi API. Brak obejść.
- CVE-2025-59826Wysokie
Flag Forge to platforma Capture The Flag (CTF). W wersji 2.1.0 nieuprzywilejowani użytkownicy mogą tworzyć dowolne wyzwania, co może wprowadzać złośliwe, błędne lub mylące treści. Problem naprawiono w wersji 2.2.0.
Oryginalny opis (angielski, źródło NVD)
Flag Forge is a Capture The Flag (CTF) platform. Versions 2.3.2 and below have a Regular Expression Denial of Service (ReDoS) vulnerability in the user profile API endpoint (/api/user/[username]). The application constructs a regular expression dynamically using unescaped user input (the username parameter). An attacker can exploit this by sending a specially crafted username containing regex meta-characters (e.g., deeply nested groups or quantifiers), causing the MongoDB regex engine to consume excessive CPU resources. This can lead to Denial of Service for other users. The issue is fixed in version 2.3.3. To workaround this issue, implement a Web Application Firewall (WAF) rule to block requests containing regex meta-characters in the URL path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS