CVE-2026-47737 in Puma
要約
〜によって VulDB • 2026年07月14日
Pumaは並列処理のために設計されたRuby/Rack用Webサーバーです。5.5.0から7.2.1および8.0.2までのバージョンにおいて、set_remote_address proxy_protocol: :v1が有効化され、かつ永続接続（persistent connections）が使用されている場合、Pumaは同じ接続上の各keep-aliveリクエストの後にPROXYプロトコルヘッダーを誤って再解析するため、送信元IPアドレスのスプーフィングに対して脆弱です。これにより、攻撃者は2番目のPROXYヘッダーを挿入してREMOTE_ADDRを上書きすることができます。この問題はバージョン7.2.1および8.0.2で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.