CVE-2026-42343
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
FastGPT w wersjach do 4.14.13 ma słabą izolację zasobów w komponencie code-sandbox. Brak ścisłych ograniczeń na poziomie systemu operacyjnego (np. cgroups) pozwala atakującym ominąć kontrole pamięci i przeciążyć pulę wątków JavaScript, powodując całkowitą odmowę usługi (DoS).
Ocena ryzyka
Organizacja narażona jest na całkowity paraliż usługi FastGPT, co uniemożliwia korzystanie z niej legalnym użytkownikom.
Rekomendacja
Należy natychmiast zaktualizować FastGPT do wersji z poprawką, gdy tylko będzie dostępna, oraz rozważyć wprowadzenie dodatkowych ograniczeń na poziomie kontenerów.
Oryginalny opis (angielski, źródło NVD)
FastGPT is an AI Agent building platform. In versions 4.14.13 and prior, the code-sandbox component suffers from insufficient resource isolation and uncontrolled resource consumption. The service relies solely on an application-level soft limit (a 500ms polling interval) for memory management and lacks strict OS-level constraints such as cgroups or kernel-level namespaces. This architectural weakness allows attackers to easily bypass memory checks via time-window attacks, or exhaust the entire JavaScript worker pool via concurrent CPU-intensive requests, resulting in a complete Denial of Service (DoS) for legitimate users. At time of publication, there are no publicly available patches.