PT-2026-69102
CVE-2026-71847
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Ruby JSON من 2.20.0 إلى 2.21.1
الوصف
يحتوي ملحق C الأصلي لـ JSON في Ruby على مشكلة تتعلق باستخدام الذاكرة المكدسة بعد تحريرها. يقوم
JSON::ResumableParser بمسح مخزن الإدخال المؤقت الخاص به، لكنه يفشل في إعادة تعيين المؤشرات state.start وstate.cursor وstate.end، مما يتركها تشير إلى مساحة تخزين تم تحريرها. وعندما تقوم الدالة partial value() بإعادة بناء كائن غير مكتمل يحتوي على مفاتيح مكررة، فإن مسار تحذير المفاتيح المكررة يُشغّل الدالة cursor position()، التي تقوم بإلغاء الإشارة إلى هذه المؤشرات القديمة. يمكن للمهاجم الذي يزود تطبيقًا يستخدم JSON::ResumableParser بتيار JSON يحتوي على مفاتيح كائنات مكررة أن يتسبب في إنهاء عملية Ruby، مما يؤدي إلى رفض الخدمة.التوصيات
قم بتحديث Ruby JSON إلى الإصدار 2.21.2.
كإجراء تخفيفي مؤقت، تجنب استخدام الدالة
partial value() على مدخلات غير مكتملة قد تحتوي على مفاتيح كائنات مكررة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾