Malicious or unintentional API requests can be used to add significant amount of data to caches.

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (OX). Не зависят от анализа CPE в NVD и обычно опережают его.

• Open-Xchange GmbH OX App Suite

  • до 2.1.7 включительнозатронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-23188Maliciously crafted E-Mail attachment names could be used to temporarily execute script code in the context of the users browser session.
  26Наблюдать
• CVE-2025-59025Malicious e-mail content can be used to execute script code.
  24Наблюдать
• CVE-2024-23192RSS feeds that contain malicious data- attributes could be abused to inject script code to a users browser session when reading compromised
  24Наблюдать
• CVE-2025-59026Malicious content uploaded as file can be used to execute script code when following attacker-controlled links.
  21Наблюдать
• CVE-2025-30190Malicious content at office documents can be used to inject script code when editing a document.
  21Наблюдать
• CVE-2025-30186Malicious content uploaded as file can be used to execute script code when following attacker-controlled links.
  21Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("слишком глубоко");4  return node.children.map((c) => expand(c, depth + 1));5}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.