| タイトル | monetrにおけるリソースの枯渇に関する脆弱性 |
|---|---|
| 概要 | monetrは定期的な費用のための予算作成アプリケーションです。バージョン1.12.3以下では、公開されているStripeのWebhookエンドポイントが、Stripeの署名を検証する前にリクエストボディ全体をメモリにバッファリングします。リモートの認証されていない攻撃者が過大なPOSTペイロードを送信すると、制御不能なメモリ増大を引き起こし、サービス拒否（DoS）につながる可能性があります。この問題はStripe Webhookが有効な展開に影響し、上流のプロキシでリクエストボディのサイズ制限が強制されている場合には緩和されます。この問題はバージョン1.12.4で修正されました。 |
| 想定される影響 | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月17日0:00 |
| 登録日 | 2026年4月27日11:29 |
| 最終更新日 | 2026年4月27日11:29 |
| CVSS3.0 : 重要 | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| monetr |
| monetr 1.12.4 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月27日] 掲載 |
2026年4月27日11:29 |
| 概要 | monetr is a budgeting application for recurring expenses. In versions 1.12.3 and below, the public Stripe webhook endpoint buffers the entire request body into memory before validating the Stripe signature. A remote unauthenticated attacker can send oversized POST payloads to cause uncontrolled memory growth, leading to denial of service. The issue affects deployments with Stripe webhooks enabled and is mitigated if an upstream proxy enforces a request body size limit. This issue has been fixed in version 1.12.4. |
|---|---|
| 公表日 | 2026年4月18日8:16 |
| 登録日 | 2026年4月19日4:08 |
| 最終更新日 | 2026年4月25日1:57 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:monetr:monetr:*:*:*:*:*:*:*:* | 1.12.4 | ||||