PT-2025-39397 · Rack+8 · Rack+8
Kwkr
·
Publicado
2025-09-25
·
Atualizado
2026-04-05
·
CVE-2025-59830
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do Rack anteriores a 2.2.18
Descrição
O componente
QueryParser do Rack conta incorretamente os parâmetros ao usar ambos os separadores '&' e ';'. O params limit é imposto apenas para parâmetros separados por '&', permitindo que atacantes contornem o limite usando ';' como separador. Isso pode levar a um aumento no consumo de CPU e memória, potencialmente causando uma condição de negação de serviço. Aplicações que utilizam a configuração padrão Rack::QueryParser estão potencialmente expostas.Recomendações
Atualize para a versão 2.2.18 ou posterior do Rack.
Force o uso de '&' como o único separador de parâmetros.
Exploit
Correção
DoS
Resource Exhaustion
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Almalinux
Centos
Debian
Linuxmint
Rack
Red Hat
Red Os
Rocky Linux
Ubuntu