PT-2025-28030 · Web-Push · Web-Push

Niklasf · Publicado 2025-02-16 · Atualizado 2025-07-05 · CVE-2025-53604

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: Versões da crate web-push anteriores à 0.10.3

Descrição: A falha permite que um atacante cause uma condição de negação de serviço através do consumo excessivo de memória nos clientes integrados da crate web-push via um inteiro grande em um cabeçalho Content-Length.

Recomendações: Para versões anteriores à 0.10.3, atualize para a versão 0.10.3 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o tamanho do cabeçalho Content-Length para evitar o consumo excessivo de memória.

Correção

DoS

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-130

CWE-770

Identificadores relacionados

CVE-2025-53604

GHSA-287X-9RFF-QVCG

GHSA-FC83-9JWQ-GC2M

RUSTSEC-2025-0015

Produtos afetados

Web-Push

Referências · 14

• https://github.com/pimeys/rust-web-push/pull/68 · Nota
• https://github.com/pimeys/rust-web-push/commit/8447ed86bf3f24629abd7022b94104bf3cd64453 · Nota
• https://github.com/pimeys/rust-web-push · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-53604 · Nota de Segurança
• https://twitter.com/transilienceai/status/1941357030746489090 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-53604 · Aviso do Fabricante
• https://crates.io/crates/web-push · Nota
• https://rustsec.org/advisories/RUSTSEC-2025-0015.html · Nota
• https://osv.dev/vulnerability/GHSA-fc83-9jwq-gc2m · Aviso do Fabricante
• https://t.me/cvenotify/127743 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1941303086280004007 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1941356808880173097 · Publicação no Twitter
• https://osv.dev/vulnerability/RUSTSEC-2025-0015 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-287x-9rff-qvcg · Aviso do Fabricante