PT-2025-11539 · Unknown · Uptime Kuma

Publicado 2025-03-17 · Atualizado 2025-03-31 · CVE-2025-26042

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.7

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:N/VA:H/SC:L/SI:L/SA:L

Nome do Software Vulnerável e Versões Afetadas Uptime Kuma versões 1.23.0 e posteriores

Descrição O problema está relacionado a uma vulnerabilidade ReDoS que ocorre quando um administrador cria uma notificação através do serviço web. Isso acontece porque uma string fornecida aciona um backtracking catastrófico na expressão regular, levando a um ataque ReDoS.

Recomendações Para as versões 1.23.0 e posteriores do Uptime Kuma, considere restringir a criação de notificações através do serviço web até que uma correção esteja disponível. Como medida temporária, limite as strings de entrada que podem ser usadas ao criar notificações para evitar acionar a vulnerabilidade ReDoS.

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2025-26042

GHSA-3RW8-4XRQ-3F7P

GHSA-HX7H-9VF7-5XHG

Produtos afetados

Uptime Kuma

Referências · 14

• https://github.com/louislam/uptime-kuma · Nota
• https://github.com/louislam/uptime-kuma/issues/5574 · Nota
• https://github.com/louislam/uptime-kuma/pull/5573 · Nota
• https://github.com/louislam/uptime-kuma/commit/7a9191761dbef6551c2a0aa6eed5f693ba48d688 · Nota
• https://github.com/louislam/uptime-kuma/security/advisories/GHSA-hx7h-9vf7-5xhg · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-26042 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hx7h-9vf7-5xhg · Aviso do Fabricante
• https://t.me/cvedetector/20503 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1901708611593842970 · Publicação no Twitter
• https://gist.github.com/ShiyuBanzhou/26c918f93b07f5ce90e8f7000d29c7a0 · Nota
• https://gist.github.com/ShiyuBanzhou/bf4cee61603e152c114fa8c4791f9f28 · Nota
• https://osv.dev/vulnerability/CVE-2025-26042 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3rw8-4xrq-3f7p · Aviso do Fabricante
• https://t.me/cvetracker/19310 · Publicação no Telegram