یک آسیب‌پذیری امنیتی در پروژه kvcache-ai Mooncake (نسخه‌های تا 0.3.12 و 0.3.14-rc1) شناسایی شده است که می‌تواند منجر به اختلال در دسترس‌پذیری سرویس شود. این نقص امنیتی با شناسه CVE-2026-96764 ثبت شده و ریشه در مدیریت نادرست تخصیص منابع دارد.
جزئیات فنی آسیب‌پذیری
این مشکل در تابع MasterService::GetReplicaListByRegex و در بخش Regular Expression Handler رخ می‌دهد. یک مهاجم با دسترسی سطح پایین (Low-privilege) که قادر به دسترسی به نقطه پایانی (Endpoint) مربوط به RPC در MasterService باشد، می‌تواند با ارسال یک عبارت منظم (Regular Expression) دستکاری شده، باعث مصرف بیش از حد منابع CPU یا حافظه سرور شود.
تحلیل اثرات و ریسک
- نوع حمله: Denial-of-Service (DoS)
- بردار حمله: از راه دور (Remote) و بدون نیاز به تعامل کاربر (No User Interaction)
- تاثیرات: این آسیب‌پذیری تنها بر روی دسترس‌پذیری (Availability) تاثیر می‌گذارد و هیچ‌گونه نشت داده (Confidentiality) یا تغییر در داده‌ها (Integrity) ایجاد نمی‌کند.
- امتیاز CVSS: امتیاز 5.3 (Medium)
وضعیت فعلی
گزارش‌ها حاکی از آن است که اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است. همچنین ذکر شده که با وجود اطلاع‌رسانی زودهنگام به توسعه‌دهندگان، تاکنون پاسخی از سوی Vendor دریافت نشده است. این مورد تحت طبقه‌بندی CWE-770 (تخصیص منابع بدون محدودیت یا کنترل) قرار می‌گیرد.
