PT-2026-47626
CVE-2026-47737
·
تاريخ النشر
2026-06-09
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Puma من 5.5.0 إلى 7.2.0
إصدارات Puma من 8.0.0 إلى 8.0.1
الوصف
يكون برنامج Puma عرضة لتزوير عنوان IP المصدر عند استخدام الاتصالات الدائمة وتفعيل إعداد
set remote address proxy protocol: :v1. تحدث هذه المشكلة لأن الخادم يعيد تحليل رؤوس بروتوكول PROXY بشكل غير صحيح بعد كل طلب keep-alive على نفس الاتصال. يمكن للمهاجم الذي يرسل الطلبات عبر وكيل موثوق به إدخال رأس PROXY ثانٍ بين طلبات HTTP، والذي يعامله Puma بعد ذلك على أنه موثوق به لكتابة متغير REMOTE ADDR. قد يؤدي ذلك إلى اختراق قرارات الأمان، أو تحديد معدل الاستخدام، أو عمليات التدقيق، أو قوائم السماح/الرفض التي تعتمد على REMOTE ADDR.التوصيات
قم بتحديث إصدارات Puma من 5.5.0 إلى 7.2.0 إلى الإصدار 7.2.1.
قم بتحديث إصدارات Puma من 8.0.0 إلى 8.0.1 إلى الإصدار 8.0.2.
قم بتعطيل تحليل بروتوكول PROXY v1 عن طريق إزالة أو تعليق إعداد
set remote address proxy protocol: :v1.قم بتعطيل الاتصالات الدائمة عن طريق تعيين
enable keep alives false. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾