CVE-2026-47737 in Puma

Tóm tắt

Bởi VulDB • 14/07/2026

Puma là một máy chủ web Ruby/Rack được thiết kế cho xử lý song song. Từ phiên bản 5.5.0 đến 7.2.1 và 8.0.2, Puma dễ bị tấn công giả mạo địa chỉ IP nguồn khi cấu hình `set_remote_address proxy_protocol: :v1` được bật và các kết nối bền vững (persistent connections) được sử dụng, do Puma phân tích lại sai các tiêu đề giao thức PROXY sau mỗi yêu cầu keep-alive trên cùng một kết nối, cho phép kẻ tấn công chèn thêm một tiêu đề PROXY thứ hai và ghi đè giá trị REMOTE_ADDR. Vấn đề này đã được sửa chữa trong các phiên bản 7.2.1 và 8.0.2.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: GitHub M
• Đặt trước: 20/05/2026
• Tiết lộ: 14/07/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-379005
• CPE: sẵn sàng
• CWE: CWE-74 (Đã xác nhận)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-47737
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-47737
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-47737/