CVE-2024-31992

Mealie özünə məxsus host edilən resept meneceri və yemək planlayıcısıdır. 1.4.0 versiyasından əvvəl `safe_scrape_html` funksiyası uzaq serverə sorğu göndərmək üçün istifadəçi tərəfindən idarə olunan URL-dən istifadə edir, lakin bu sorğular üçün sürət məhdudiyyəti (rate-limiting) tətbiq edilməmişdir. Sorğularda vaxt limitinin (timeout) tətbiqi ilə DDoS hücumlarının qarşısını almağa cəhdlər olsa da, hücumçunun serverə böyük sayda sorğu göndərməsi mümkündür və bu sorğular Mealie serverinin konfiqurasiyasından asılı olaraq paketlər şəklində emal edilir. Cavabların hissələrə bölünməsi Mealie serverində yaddaşın tükənməsinin qarşısını almağa kömək etsə də, ixtiyari dərəcədə böyük xarici fayla (məsələn, Debian ISO) edilən tək bir sorğu çox vaxt Mealie konteynerinə təyin edilmiş CPU nüvəsini tamamilə doldurmaq üçün kifayətdir. Sürət məhdudiyyəti olmadıqda, nəinki xarici hədəfə qarşı trafikin müddətsiz davam etdirilməsi, həm də Mealie konteynerinə ayrılmış CPU resurslarının tükəndirilməsi mümkündür. Bu zəiflik 1.4.0 versiyasında aradan qaldırılmışdır.