CVE-2023-28846 in unpoly-rails Gem
Riassunto
di VulDB • 19/06/2026
Unpoly è un framework JavaScript per applicazioni web lato server. È presente una potenziale vulnerabilità di Denial of Service (DoS) nel gem `unpoly-rails`, che implementa il protocollo server Unpoly per le applicazioni Rails. Questo problema interessa le applicazioni Rails che operano come upstream rispetto a un load balancer che utilizza health check passivi. Il gem `unpoly-rails` rispecchia l'URL della richiesta nell'intestazione di risposta `X-Up-Location`. Emettendo una richiesta con URL (path o query string) eccessivamente lunghi, un attaccante può indurre unpoly-rails a generare un'intestazione di risposta di dimensioni enormi. Se l'intestazione di risposta è troppo grande per essere analizzata da un load balancer downstream rispetto all'applicazione Rails, ciò potrebbe causare la rimozione dell'upstream dal gruppo di bilanciamento del carico. Ciò rende quell'istanza dell'applicazione non disponibile fino al raggiungimento di un timeout configurato o finché un health check attivo non esita con successo. Questo problema è stato risolto e rilasciato nella versione 2.7.2.2, disponibile tramite RubyGems e GitHub. Gli utenti che non possono effettuare l'aggiornamento possono: configurare il load balancer per utilizzare health check attivi (ad esempio richiedendo periodicamente un route con una risposta nota che indica lo stato di salute); configurare il load balancer in modo che la dimensione massima delle intestazioni di risposta sia almeno doppia rispetto alla dimensione massima di un URL; oppure, invece di modificare la configurazione del server, è possibile configurare l'applicazione Rails per eliminare le intestazioni ridondanti `X-Up-Location` impostate da unpoly-rails.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.