CVE-2026-53524— WeeChat Relay WebSocket 解压缩炸弹导致拒绝服务漏洞
一分钟漏洞结论
影响对象
weechat weechat
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
WeeChat（Wee Enhanced Environment for Chat）是一款免费的聊天客户端。在 4.3.0 到 4.9.0 版本中，WeeChat 的 relay 模块的 WebSocket permessage-deflate 解压缩函数 对输出大小没有上限限制。经过身份验证的 relay 用户可以发送一个小的压缩 WebSocket 帧（约 100 字节），该帧在解压缩后会膨胀到数 GB 大小，从而耗尽服务器内存并导致整个 WeeChat 进程崩溃。api 协议启用了 permessage-de
可能的 ATT&CK 技术 1 AI
T1496 · Resource Hijacking
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-53524 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
WeeChat has a Decompression Bomb in Relay WebSocket (DoS)
来源: CVE Program / CVE List V5
Vulnerability Description
WeeChat (Wee Enhanced Environment for Chat) is a free chat client. In versions 4.3.0 through 4.9.0, the WeeChat relay module's WebSocket permessage-deflate decompression function relay_websocket_inflate() has no upper bound on output size. An authenticated relay user can send a small compressed WebSocket frame (~100 bytes) that decompresses to gigabytes, exhausting all server memory and crashing the entire WeeChat process. The api protocol enables permessage-deflate and requires authentication before WebSocket upgrade. Version 4.9.1 patches the issue.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
对高度压缩数据的处理不恰当(数据放大攻击)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-53524 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-53524 的情报信息
请登录查看更多情报信息。
CVE-2026-53524 厂商安全公告 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-53524
暂无评论