CVE-2023-22796
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 77 - wyżej niż 77% wszystkich znanych CVE
Streszczenie
W Active Support <6.1.7.1 i <7.0.4.1 istnieje podatność na atak DoS oparta na wyrażeniach regularnych. Specjalnie spreparowany ciąg znaków przekazany do metody underscore może wprowadzić silnik wyrażeń regularnych w stan katastrofalnego backtrackingu, powodując zużycie dużych ilości CPU i pamięci.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania zasobów i odmowy usługi aplikacji wykorzystującej Active Support.
Rekomendacja
Zaktualizuj Active Support do wersji 6.1.7.1, 7.0.4.1 lub nowszej.
Inne podatności w Active Support
Zobacz wszystkie- CVE-2026-33176Wysokie
Active Support (biblioteka Ruby z Rails) w wersjach przed 8.1.2.1, 8.0.4.1 i 7.2.3.1 akceptuje w helperach liczbowych ciągi w notacji naukowej (np. 1e10000), które BigDecimal rozwija do ogromnych liczb dziesiętnych. Formatowanie takiej liczby powoduje nadmierną alokację pamięci i zużycie CPU.
- CVE-2026-33170Średnie
W Active Support (Ruby on Rails) metoda SafeBuffer#% nie propaguje flagi @html_unsafe do nowo utworzonego bufora. Jeśli SafeBuffer zostanie zmodyfikowany w miejscu (np. przez gsub!) i następnie sformatowany operatorem % z niezaufanymi argumentami, wynik błędnie zwraca html_safe? == true, omijając automatyczne escapowanie ERB i mogąc prowadzić do XSS.
- CVE-2026-33169Średnie
Active Support to biblioteka pomocnicza Ruby wyodrębniona z frameworka Rails. Klasa NumberToDelimitedConverter używa wyrażenia regularnego z lookahead i metody gsub!, co przy długich ciągach cyfr może prowadzić do kwadratowej złożoności czasowej. Podatność naprawiono w wersjach 8.1.2.1, 8.0.4.1 i 7.2.3.1.
Oryginalny opis (angielski, źródło NVD)
A regular expression based DoS vulnerability in Active Support <6.1.7.1 and <7.0.4.1. A specially crafted string passed to the underscore method can cause the regular expression engine to enter a state of catastrophic backtracking. This can cause the process to use large amounts of CPU and memory, leading to a possible DoS vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS