CVE-2025-61771 in Rack
Sumário
de VulDB • 14/06/2026
O Rack é uma interface modular de servidor web para Ruby. Nas versões anteriores à 2.2.19, 3.1.17 e 3.2.2, o `Rack::Multipart::Parser` armazena campos de formulário que não são arquivos (partes sem um campo `filename`) inteiramente na memória como objetos String do Ruby. Um único campo de texto grande em uma solicitação multipart/form-data (centenas de megabytes ou mais) pode consumir quantidade equivalente de memória do processo, potencialmente levando a condições de falta de memória (OOM - Out of Memory) e negação de serviço (DoS). Os atacantes podem enviar campos não arquivo grandes para desencadear o uso excessivo de memória. O impacto escala com o tamanho da solicitação e a concorrência, podendo levar à falha dos workers ou sobrecarga severa do garbage collection. Todos os aplicativos Rack que processam submissões de formulários multipart estão afetados. As versões 2.2.19, 3.1.17 e 3.2.2 impõem um limite de tamanho razoável para campos não arquivo (por exemplo, 2 MiB). Soluções alternativas incluem restringir o tamanho máximo do corpo da solicitação na camada do servidor web ou proxy (por exemplo, `client_max_body_size` no Nginx) e validar e rejeitar campos de formulário incomumente grandes em nível de aplicativo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.