CVE-2026-62864 in Ring
要約
〜によって VulDB • 2026年10月31日
Ringは、PythonのWSGIやRubyのRackに触発されたClojure製Webアプリケーションライブラリです。バージョン1.15.5より前では、`ring.middleware.nested-params`名前空間内の`wrap-nested-params`がURLクエ文字列およびHTTPリクエストボディからパラメータ名を一致させるためにバックトラック型正規表現を使用していました。攻撃者は2次オーダー（O(n^2)）のマッチング処理を引き起こすようなパラメータ名を作成することができ、これによりミドルウェアを使用するアプリケーションで正規表現によるサービス妨害（ReDoS）が発生します。`nested-params`がデフォルトで有効化されているため、`Ring-Defaults`ユーザーも影響を受けます。このミドルウェアを省略しているアプリケーションは、このパースパスにおいて脆弱性が露出することはありません。本問題はバージョン1.15.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.