CVE-2026-54297

إصدارات Faraday السابقة للإصدار 2.14.2-2-g59334e0

يقوم Faraday::NestedParamsEncoder، وهو المشفر/المفكك الافتراضي لمعلمات الاستعلام المتداخلة، بفك تشفير سلاسل الاستعلام المتداخلة دون فرض حد أقصى لعمق التداخل. يمكن للمهاجم تقديم سلسلة استعلام مصممة خصيصًا تحتوي على معلمات متداخلة بعمق، مما يتسبب في قيام الدالة الداخلية dehash() بمعالجة البنية بشكل متكرر دون حدود. يؤدي هذا إلى استنفاد المكدس، مما يؤدي إلى حدوث خطأ SystemStackError (عمق المكدس زائد) الذي يتسبب في تعطل مؤشر ترابط Ruby أو العامل الذي يقوم بالاستدعاء، مما يؤدي إلى رفض الخدمة. تحدث هذه المشكلة عندما تقوم التطبيقات بتمرير سلاسل استعلام غير موثوق بها إلى Faraday::Utils.parse nested query() أو أثناء إنشاء عنوان URL عبر الطريقة build url().

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.