CVE-2026-44240

basic-ftp Node.js üçün FTP klientidir. 5.3.1 versiyasından əvvəl basic-ftp, FTP idarəetmə kanalı çoxsətirli cavablarını təhlil edərkən klient tərəfli xidmətdən imtina (DoS) zəifliyinə malikdir. Zərərli və ya kompromisə uğramış FTP serveri, autentifikasiyadan əvvəl, ilkin FTP banner mərhələsi zamanı sonlandırılmamış çoxsətirlil cavab göndərə bilər. Klient, maksimum idarəetmə cavabı ölçüsünü tətbiq etmədən hücumçu tərəfindən idarə olunan məlumatları FtpContext._partialResponse hissəsinə əlavə etməyə davam edir və toplanmış buferi dəfələrlə yenidən təhlil edir. Nəticədə, basic-ftp istifadə edən tətbiq, hücumçunun daxil etdiyi məlumatlar səbəbindən yaddaş və CPU istifadəsi artarkən connect() funksiyasında ilişib qala bilər. Bu, proses səviyyəsində xidmətdən imtinaya, konteynerlərin OOM kill vasitəsilə dayandırılmasına, işçi proseslərin (worker) yenidən başladılmasına, növbə yığılmasına və ya avtomatik olaraq FTP son nöqtələrinə qoşulan tətbiqlərdə xidmət keyfiyyətinin aşağı düşməsinə səbəb ola bilər. Bu zəiflik 5.3.1 versiyasında aradan qaldırılıb.