Flag ForgeはCapture The Flag（CTF）プラットフォームです。バージョン2.3.2およびそれ以前のバージョンには、ユーザープロファイルAPIエンドポイント（/api/user/[username]）において正規表現によるサービス拒否（ReDoS）脆弱性が存在します。アプリケーションは、エスケープされていないユーザー入力（usernameパラメータ）を用いて正規表現を動的に構築します。攻撃者は、正規表現のメタ文字（例：深く入れ子になったグループや量指定子）を含む特別に細工されたユーザー名を送信することで、この脆弱性を悪用できます。これによりMongoDBの正規表現エンジンが過剰なCPUリソースを消費し、他のユーザーに対してサービス拒否を引き起こす可能性があります。この問題はバージョン2.3.3で修正されています。この問題への対処として、URLパスに正規表現のメタ文字が含まれるリクエストをブロックするWebアプリケーションファイアウォール（WAF）ルールを実装してください。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。