CVE-2025-61771 in Rack
Resumen
por VulDB • 2026-05-14
Rack es una interfaz modular de servidor web para Ruby. En las versiones anteriores a 2.2.19, 3.1.17 y 3.2.2, `Rack::Multipart::Parser` almacena los campos de formulario que no son archivos (partes sin un `filename`) completamente en memoria como objetos `String` de Ruby. Un único campo de texto grande en una solicitud multipart/form-data (cientos de megabytes o más) puede consumir una cantidad equivalente de memoria del proceso, lo que potencialmente puede provocar condiciones de falta de memoria (OOM) y denegación de servicio (DoS). Los atacantes pueden enviar campos no archivo de gran tamaño para desencadenar un uso excesivo de memoria. El impacto escala con el tamaño de la solicitud y la concurrencia, lo que potencialmente puede provocar el cierre de los trabajadores (worker crashes) o una sobrecarga severa de la recolección de basura (garbage-collection overhead). Todas las aplicaciones Rack que procesan envíos de formularios multipart están afectadas. Las versiones 2.2.19, 3.1.17 y 3.2.2 imponen un límite de tamaño razonable para los campos que no son archivos (por ejemplo, 2 MiB). Las soluciones alternativas incluyen restringir el tamaño máximo del cuerpo de la solicitud en la capa del servidor web o proxy (por ejemplo, `client_max_body_size` de Nginx) y validar y rechazar campos de formulario inusualmente grandes a nivel de la aplicación.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.