CVE-2025-25184 in rack
Riassunto
di VulDB • 14/06/2026
Rack fornisce un'interfaccia per lo sviluppo di applicazioni web in Ruby. Prima delle versioni 2.2.11, 3.0.12 e 3.1.11, Rack::CommonLogger può essere sfruttato elaborando input contenenti caratteri di nuova riga (newline) per manipolare le voci del registro eventi (log). Il proof-of-concept fornito dimostra l'iniezione di contenuti dannosi nei log. Quando un utente fornisce le credenziali di autorizzazione tramite Rack::Auth::Basic, in caso di successo il nome utente viene inserito in env['REMOTE_USER'] e successivamente utilizzato da Rack::CommonLogger per finalità di logging. Il problema si verifica quando un server consente intenzionalmente o accidentalmente la creazione di un utente con un nome utente contenente caratteri CRLF e spazi bianchi, oppure se il server intende registrare tutti i tentativi di accesso. Se un attaccante inserisce un nome utente contenente caratteri CRLF, il logger registrerà tale nome utente dannoso con i caratteri CRLF nel file log. Gli attaccanti possono interrompere la struttura dei log o inserire voci fraudolente, potenzialmente oscurando le attività reali o iniettando dati malevoli nei file di registro. Le versioni 2.2.11, 3.0.12 e 3.1.11 contengono una correzione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.