PT-2026-31471 · Unfurl · Unfurl

Mobasi-Team · Publicado 2026-01-29 · Atualizado 2026-04-09 · CVE-2026-40036

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions Unfurl versões anteriores a 2026.04

Description Unfurl contém uma falha no componente parse compressed.py devido à descompressão zlib não limitada. Atacantes remotos podem aproveitar isso para causar uma negação de serviço. Especificamente, os atacantes podem enviar cargas úteis grandes e compactadas por meio de parâmetros de URL para o endpoint da API /json/visjs. Essas cargas úteis se expandem para gigabytes, consumindo a memória do servidor e levando a falhas no serviço.

Recommendations Atualize para a versão 2026.04 ou posterior.

Correção

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-409

CWE-770

CWE-400

Identificadores relacionados

CVE-2026-40036

GHSA-C3F2-QG8V-25Q2

GHSA-H5QV-QJV4-PC5M

Produtos afetados

Unfurl

Referências · 12

• https://github.com/RyanDFIR/unfurl · Nota
• https://github.com/RyanDFIR/unfurl/pull/243 · Nota
• https://github.com/obsidianforensics/unfurl/security/advisories/GHSA-h5qv-qjv4-pc5m · Aviso do Fabricante
• https://github.com/obsidianforensics/unfurl/releases/tag/v2026.04 · Correção
• https://github.com/RyanDFIR/unfurl/commit/7cc711a65b106742a21080b755f81c17b5725aa8 · Nota
• https://github.com/RyanDFIR/unfurl/releases/tag/v2026.04 · Nota
• https://github.com/obsidianforensics/unfurl · Nota
• https://twitter.com/CveFindCom/status/2042101127420788970 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-c3f2-qg8v-25q2 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-h5qv-qjv4-pc5m · Aviso do Fabricante
• https://vulncheck.com/advisories/dfir-unfurl-denial-of-service-via-unbounded-zlib-decompression · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40036 · Nota de Segurança