CVE-2026-66729
facil.io 0.6.0 - 0.7.6 Integer Underflow DoS tramite il parser del corpo MIME multipart
- Pubblicato
- 27 lug 2026
- Aggiornato
- 31 lug 2026
- Assegnazione CNA
- VulnCheck
- Evidenza osservata
- 7 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBasso · prossimi 30 giorni
- Percentile
- 55,1%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
facil.io 0.6.0 fino a 0.7.6 contiene una vulnerabilità di underflow intero nel parser del corpo MIME multipart che consente ad attaccanti remoti non autenticati di mandare in crash il processo del server inviando un header Content-Disposition appositamente predisposto con un nome di campo vuoto. Gli attaccanti possono innescare un wraparound di uint32_t in http_mime_parser.h causando una lettura della memoria fuori dai limiti oltre il puntatore al nome, con conseguente bus fault che manda in crash il worker che gestisce la richiesta con una singola richiesta POST.
Fonti
Advisory di sicurezza: lettura fuori dai limiti nel parser MIME di facil.io causa il crash del server
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.