monetrにおけるリソースの枯渇に関する脆弱性
| Title |
monetrにおけるリソースの枯渇に関する脆弱性
|
| Summary |
monetrは定期的な費用のための予算作成アプリケーションです。バージョン1.12.3以下では、公開されているStripeのWebhookエンドポイントが、Stripeの署名を検証する前にリクエストボディ全体をメモリにバッファリングします。リモートの認証されていない攻撃者が過大なPOSTペイロードを送信すると、制御不能なメモリ増大を引き起こし、サービス拒否（DoS）につながる可能性があります。この問題はStripe Webhookが有効な展開に影響し、上流のプロキシでリクエストボディのサイズ制限が強制されている場合には緩和されます。この問題はバージョン1.12.4で修正されました。
|
| Possible impacts |
当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
April 17, 2026, midnight |
| Registration Date |
April 27, 2026, 11:29 a.m. |
| Last Update |
April 27, 2026, 11:29 a.m. |
|
CVSS3.0 : 重要
|
| Score |
7.5
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Affected System
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年04月27日]
掲載 |
April 27, 2026, 11:29 a.m. |
NVD Vulnerability Information
CVE-2026-40481
| Summary |
monetr is a budgeting application for recurring expenses. In versions 1.12.3 and below, the public Stripe webhook endpoint buffers the entire request body into memory before validating the Stripe signature. A remote unauthenticated attacker can send oversized POST payloads to cause uncontrolled memory growth, leading to denial of service. The issue affects deployments with Stripe webhooks enabled and is mitigated if an upstream proxy enforces a request body size limit. This issue has been fixed in version 1.12.4.
|
| Publication Date |
April 18, 2026, 8:16 a.m. |
| Registration Date |
April 19, 2026, 4:08 a.m. |
| Last Update |
April 25, 2026, 1:57 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:monetr:monetr:*:*:*:*:*:*:*:* |
|
|
|
1.12.4 |
Related information, measures and tools
Common Vulnerabilities List