Gotenberg - это API без состояния Docker для PDF-файлов. До 8.32.0 промежуточное повествование Webhook порохает, которая содержит ссылку на…

Gotenberg - это API без состояния Docker для PDF-файлов. До 8.32.0 промежуточное повествование Webhook порохает, которая содержит ссылку на эхо запроса.Контекст после того, как синхронный обработчик возвращает ErrAyncProcess, а Echo перерабатывает контекст обратно в свой sync.Pool. Когда одновременной запрос требует переработанный контекст, c.Reset() очищает магазин. Если webhook goroutine достигает hardTimeoutMiddleware в этот момент, неконтролируемое утверждение типа на входе в нулевой магазин паника выходит за рамки любого восстановившегося () объема, разбивая процесс Готенберга. Любой анонимный абонент достигает пути webhook (по умолчанию webhook-defy-list фильтрует только пункт назначения веб-крючка, а не отправителя). Одноисточник стресса ~ 24 запросов веб-хука плюс ~60 запросов GET /version сбивает процесс примерно за две секунды. Эта уязвимость фиксируется в 8.32.0.