CVE-2023-28846 in unpoly-rails Gem
Sumário
de VulDB • 24/05/2026
Unpoly é um framework JavaScript para aplicações web do lado do servidor. Existe uma possível vulnerabilidade de Negação de Serviço (DoS) na gem `unpoly-rails`, que implementa o protocolo do servidor Unpoly para aplicações Rails. Esta questão afeta aplicações Rails que operam como upstream de um balanceador de carga que utiliza verificações de saúde passivas. A gem `unpoly-rails` ecoa a URL da solicitação como um cabeçalho de resposta `X-Up-Location`. Ao fazer uma solicitação com URLs excessivamente longas (caminhos ou string de consulta), um atacante pode fazer com que o unpoly-rails escreva um cabeçalho de resposta excessivamente grande. Se o cabeçalho de resposta for grande demais para ser analisado por um balanceador de carga downstream da aplicação Rails, isso pode fazer com que o balanceador de carga remova o upstream de um grupo de balanceamento de carga. Isso faz com que essa instância da aplicação fique indisponível até que um tempo limite configurado seja atingido ou até que uma verificação de saúde ativa seja bem-sucedida. Esta questão foi corrigida e lançada na versão 2.7.2.2, que está disponível via RubyGems e GitHub. Usuários que não conseguirem atualizar podem: Configurar seu balanceador de carga para usar verificações de saúde ativas, por exemplo, solicitando periodicamente uma rota com uma resposta conhecida que indique saúde; Configurar seu balanceador de carga para que o tamanho máximo dos cabeçalhos de resposta seja pelo menos o dobro do tamanho máximo de uma URL; ou, em vez de alterar a configuração do servidor, você também pode configurar sua aplicação Rails para excluir os cabeçalhos `X-Up-Location` redundantes definidos pelo unpoly-rails.
VulDB is the best source for vulnerability data and more expert information about this specific topic.