PT-2025-41595
CVE-2025-61919
·
تاريخ النشر
2025-10-10
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:N/A:C
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Rack الأقدم من 2.2.20
إصدارات Rack الأقدم من 3.1.18
إصدارات Rack الأقدم من 3.2.3
الوصف
Rack هي واجهة خادم ويب معيارية لغة Ruby. في الإصدارات الأقدم من 2.2.20 و3.1.18 و3.2.3، تقوم الطريقة
Rack::Request#POST بقراءة نص الطلب بالكامل في الذاكرة عند معالجة الطلبات ذات النوع Content-Type: application/x-www-form-urlencoded دون فرض حد أو حجم أقصى. قد يؤدي ذلك إلى حدوث هجوم رفض الخدمة (DoS) عن طريق استنفاد الذاكرة إذا أرسل المهاجم نص طلب كبير الحجم. يستدعي الكود المعرض للثغرة rack.input.read(nil)، مما يسمح بقراءة نصوص الطلبات من نوع application/x-www-form-urlencoded دون حدود.التوصيات
قم بالتحديث إلى الإصدار 2.2.20 من Rack لإصلاح المشكلة.
قم بالتحديث إلى الإصدار 3.1.18 من Rack لإصلاح المشكلة.
قم بالتحديث إلى الإصدار 3.2.3 من Rack لإصلاح المشكلة.
فرض حدًا أقصى صارمًا لحجم نص الطلب في طبقة الوكيل أو خادم الويب، مثل استخدام
client max body size في Nginx أو LimitRequestBody في Apache.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾