CVE-2023-28846 in unpoly-rails Gem
Resumen
por VulDB • 2026-05-24
Unpoly es un framework de JavaScript para aplicaciones web del lado del servidor. Existe una posible vulnerabilidad de Denegación de Servicio (DoS) en la gema `unpoly-rails`, que implementa el protocolo del servidor de Unpoly para aplicaciones Rails. Este problema afecta a las aplicaciones Rails que operan como upstream de un balanceador de carga que utiliza comprobaciones de estado pasivas. La gema `unpoly-rails` refleja la URL de la solicitud como un encabezado de respuesta `X-Up-Location`. Al realizar una solicitud con URLs excesivamente largas (rutas o cadena de consulta), un atacante puede provocar que unpoly-rails escriba un encabezado de respuesta excesivamente grande. Si el encabezado de respuesta es demasiado grande para ser analizado por un balanceador de carga situado aguas abajo de la aplicación Rails, puede provocar que el balanceador de carga elimine el upstream de un grupo de balanceo de carga. Esto hace que esa instancia de la aplicación quede no disponible hasta que se alcance un tiempo de espera configurado o hasta que una comprobación de estado activa tenga éxito. Este problema se ha corregido y publicado en la versión 2.7.2.2, disponible a través de RubyGems y GitHub. Los usuarios que no puedan actualizar pueden: Configurar su balanceador de carga para que utilice comprobaciones de estado activas, por ejemplo, solicitando periódicamente una ruta con una respuesta conocida que indique que el servicio está saludable; Configurar su balanceador de carga para que el tamaño máximo de los encabezados de respuesta sea al menos el doble del tamaño máximo de una URL; o, en lugar de cambiar la configuración de su servidor, también pueden configurar su aplicación Rails para eliminar los encabezados `X-Up-Location` redundantes establecidos por unpoly-rails.
If you want to get best quality of vulnerability data, you may have to visit VulDB.