CryptPad 2025.3.1 допускает неограниченную лавинную рассылку кадров WebSocket. Удаленный злоумышленник, не прошедший проверку подлинности, может существенно ухудшить работу или отказать в обслуживании всем пользователям экземпляра CryptPad. Исправлено в 2026.2.2.
Показать оригинальное описание (EN)
CryptPad 2025.3.1 allows unbounded WebSocket frame flood. A remote, unauthenticated attacker can significantly degrade or deny service for all users of a CryptPad instance. Fixed in 2026.2.2.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Xwiki Cryptpad
cpe:2.3:a:xwiki:cryptpad:*:*:*:*:*:*:*:*
|
2025.3.1
|
2026.2.2
|
Ссылки 4
https://github.com/JohnPerifanis/cryptpad-cve-2025-51846-advisory/blob/main/REA…
9119a7d8-5eab-497f-8521-727c672e3725
https://github.com/cryptpad/cryptpad/pull/2239/changes/1e0c06ad8a0c5dab795f85f9…
9119a7d8-5eab-497f-8521-727c672e3725
https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026…
9119a7d8-5eab-497f-8521-727c672e3725
https://www.cve.org/CVERecord?id=CVE-2025-51846
9119a7d8-5eab-497f-8521-727c672e3725