CVE-2025-61771 in Rack
Сводка
по VulDB • 25.06.2026
Rack представляет собой модульный интерфейс веб-сервера для Ruby. В версиях, предшествующих 2.2.19, 3.1.17 и 3.2.2, `Rack::Multipart::Parser` хранит поля форм, не являющиеся файлами (части без указания `filename`), целиком в памяти в виде объектов Ruby `String`. Одно большое текстовое поле во время запроса multipart/form-data (сотни мегабайт или более) может потреблять эквивалентный объем оперативной памяти процесса, что потенциально приводит к исчерпанию памяти (OOM-состояния) и отказу в обслуживании (DoS). Злоумышленники могут отправлять большие поля без файлов для вызова чрезмерного использования памяти. Масштаб воздействия зависит от размера запроса и уровня параллелизма, что потенциально может приводить к сбоям рабочих процессов или значительным накладным расходам на сборку мусора (garbage collection). Все приложения Rack, обрабатывающие отправку multipart-форм, затронуты. Версии 2.2.19, 3.1.17 и 3.2.2 устанавливают разумный лимит размера для полей без файлов (например, 2 MiB). Временные решения включают ограничение максимального размера тела запроса на уровне веб-сервера или прокси (например, параметр Nginx `client_max_body_size`) а также проверку и отклонение необычно больших полей форм на уровне приложения.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.