BlueprintUE Self-Hosted Editionで認証なしにストレージを枯渇させられる脆弱性
Summary
BlueprintUE Self-Hosted Editionには、認証のない攻撃者が匿名のブループリントを大量に作成してサーバーのストレージを使い切り、サービスを停止させられる脆弱性があります。影響を受けるのは1.0.0以降4.3.5より前の版で、修正版の4.3.5が公開されています。CVSS v4のスコアは8.7と高く、早めの更新をおすすめします。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
BlueprintUE Self-Hosted Editionには、認証のない攻撃者が匿名のブループリントを大量に作成してサーバーのストレージを使い切り、サービスを停止させられる脆弱性があります。影響を受けるのは1.0.0以降4.3.5より前の版で、修正版の4.3.5が公開されています。CVSS v4のスコアは8.7と高く、早めの更新をおすすめします。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| blueprintueblueprintue-self-hosted-edition |
≥ 1.0.0, < 4.3.5→ 4.3.5 |
4.3.5 |
Original description The description as published by the source.
BlueprintUE Self-Hosted Edition 1.0.0 before 4.3.5 contains a resource exhaustion vulnerability that allows unauthenticated attackers to fill server storage by repeatedly creating anonymous blueprints. Attackers can send large requests to HomeController::doProcessCreateBlueprint() with a 'never' expiration, bypassing purges to fill the disk and deny service.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory vulncheck.com
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- patch github.com
- patch github.com
- web github.com