PT-2026-21806 · Bytecode Alliance · Wasmtime

Alexcrichton · Publicado 2026-01-01 · Atualizado 2026-02-25 · CVE-2026-27572

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Wasmtime anteriores a 24.0.6 Versões do Wasmtime anteriores a 36.0.6 Versão do Wasmtime 4.0.04 Versões do Wasmtime anteriores a 41.0.4 Versões do Wasmtime anteriores a 42.0.0

Descrição A implementação do recurso wasi:http/types.fields do Wasmtime é suscetível a pânico quando um número excessivo de campos é adicionado ao conjunto de cabeçalhos. O crate wasmtime-wasi-http utiliza uma estrutura de dados que entra em pânico quando atinge sua capacidade, e essa condição não foi tratada adequadamente. Um pânico em uma implementação WASI pode levar a uma Negação de Serviço para os incorporadores.

Recomendações Atualize para a versão 24.0.6 ou posterior do Wasmtime. Atualize para a versão 36.0.6 ou posterior do Wasmtime. Atualize para a versão 4.0.04 ou posterior do Wasmtime. Atualize para a versão 41.0.4 ou posterior do Wasmtime. Atualize para a versão 42.0.0 ou posterior do Wasmtime.

Exploit

Correção

DoS

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-27572

GHSA-243V-98VX-264H

RUSTSEC-2026-0021

Produtos afetados

Wasmtime

Referências · 26

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27572.json · Exploit
• https://github.com/bytecodealliance/wasmtime · Nota
• https://github.com/bytecodealliance/wasmtime/commit/301dc7162cca51def19131019af1187f45901c0a · Correção
• https://github.com/bytecodealliance/wasmtime/releases/tag/v36.0.6 · Nota
• https://github.com/bytecodealliance/wasmtime/releases/tag/v40.0.4 · Nota
• https://github.com/bytecodealliance/wasmtime/security/advisories/GHSA-243v-98vx-264h · Nota
• https://github.com/bytecodealliance/wasmtime/releases/tag/v24.0.6 · Nota
• https://github.com/bytecodealliance/wasmtime/releases/tag/v41.0.4 · Nota
• https://ubuntu.com/security/CVE-2026-27572 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2026641402801578284 · Publicação no Twitter
• https://docs.rs/http/1.4.0/http/header/#limitations · Nota
• https://osv.dev/vulnerability/RUSTSEC-2026-0021 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-27572 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-27572 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-27572 · Nota de Segurança