JVNDB-2026-001605

FlagForgeにおける非効率的な正規表現の複雑さに関する脆弱性

Flag ForgeはCapture The Flag（CTF）プラットフォームです。バージョン2.3.2およびそれ以前のバージョンには、ユーザープロファイルAPIエンドポイント（/api/user/[username]）において正規表現によるサービス拒否（ReDoS）脆弱性が存在します。アプリケーションは、エスケープされていないユーザー入力（usernameパラメータ）を用いて正規表現を動的に構築します。攻撃者は、正規表現のメタ文字（例：深く入れ子になったグループや量指定子）を含む特別に細工されたユーザー名を送信することで、この脆弱性を悪用できます。これによりMongoDBの正規表現エンジンが過剰なCPUリソースを消費し、他のユーザーに対してサービス拒否を引き起こす可能性があります。この問題はバージョン2.3.3で修正されています。この問題への対処として、URLパスに正規表現のメタ文字が含まれるリクエストをブロックするWebアプリケーションファイアウォール（WAF）ルールを実装してください。

FlagForge

• FlagForge 2.0 以上 2.3.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : ReDoS Vulnerability in User Profile Lookup  Advisory  FlagForgeCTF/flagForge  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-21868

1. National Vulnerability Database (NVD) : CVE-2026-21868

• [2026年01月22日]
    掲載