Jellysweep इमेज कैश API एंडपॉइंट में अनियंत्रित डेटा का उपयोग करता है github.com/jon4hz/jellysweep में

यह भेद्यता हमलावरों को Jellysweep एप्लिकेशन के छवि कैश API एंडपॉइंट के माध्यम से अनियंत्रित डेटा का उपयोग करने की अनुमति देती है। इसका परिणाम संभावित रूप से संवेदनशील जानकारी का प्रकटीकरण, सेवा से इनकार (DoS) या अन्य दुर्भावनापूर्ण गतिविधियों में हो सकता है। हमलावर छवि कैशिंग तंत्र को लक्षित करके सिस्टम संसाधनों को समाप्त कर सकते हैं या अनपेक्षित व्यवहार को ट्रिगर कर सकते हैं। इस भेद्यता का शोषण करने से सिस्टम की सुरक्षा और अखंडता से समझौता हो सकता है, जिससे डेटा हानि या अनधिकृत पहुंच हो सकती है।

Organizations that rely on jellysweep for image processing or caching are at risk. This includes developers and system administrators who manage jellysweep deployments. Environments where jellysweep is exposed to untrusted external networks are particularly vulnerable.

• go / server: Monitor application logs for unusual API requests related to image caching. Look for requests with excessively large payloads or unexpected data types.

journalctl -u jellysweep -f | grep "image cache API" 

• generic web: Use curl to test the image cache API endpoint with various payloads, including very large files or malformed data, to observe any abnormal behavior or resource consumption.

curl -F "image=@large_file.jpg" http://<jellysweep_server>/image_cache_api

1. 2025-11-17Disclosure

   disclosure

1. आरक्षित2025-10-28
2. प्रकाशित2025-11-17
3. संशोधित2026-03-03
4. EPSS अद्यतन2026-03-23

CVE-2025-64178 को कम करने के लिए, Jellysweep को संस्करण 0.13.0 या बाद के संस्करण में अपग्रेड करना आवश्यक है। यदि अपग्रेड करना तत्काल संभव नहीं है, तो छवि कैश API एंडपॉइंट तक पहुंच को सीमित करने के लिए अस्थायी उपाय किए जा सकते हैं। फ़ायरवॉल नियमों का उपयोग करके या एक्सेस कंट्रोल लिस्ट (ACL) को कॉन्फ़िगर करके अनधिकृत पहुंच को अवरुद्ध किया जा सकता है। इसके अतिरिक्त, छवि कैशिंग तंत्र की निगरानी करना और किसी भी असामान्य गतिविधि के लिए अलर्ट सेट करना महत्वपूर्ण है। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता का समाधान हो गया है, छवि कैश API एंडपॉइंट के माध्यम से एक परीक्षण अनुरोध भेजें।