CVE-2024-31992

Mealie, kendi sunucunuzda barındırılabilen bir tarif yöneticisi ve öğün planlayıcıdır. 1.4.0 sürümünden önce, safe_scrape_html fonksiyonu uzak bir sunucuya istek göndermek için kullanıcı kontrollü bir URL kullanmaktadır ancak bu istekler hız sınırlandırmasına tabi değildir. İsteklere zaman aşımı uygulanarak DDoS saldırılarını önleme çabaları olsa da, bir saldırganın Mealie sunucusunun yapılandırmasına bağlı olarak gruplar halinde işlenecek çok sayıda isteği sunucuya iletmesi mümkündür. Yanıtların parçalara ayrılması, Mealie sunucusundaki bellek tükenmesini hafifletmeye yardımcı olur; ancak rastgele büyüklükteki harici bir dosyaya (örneğin bir Debian ISO dosyası) yapılan tek bir istek, genellikle Mealie konteynerine atanmış bir CPU çekirdeğini tamamen doyurmak için yeterlidir. Hız sınırlandırmasının olmaması durumunda, yalnızca harici bir hedefe karşı trafiğin süresiz olarak sürdürülmesi değil, aynı zamanda Mealie konteynerine atanan CPU kaynaklarının da tüketilmesi mümkündür. Bu güvenlik açığı 1.4.0 sürümünde giderilmiştir.