CVE-2026-125109

W Rack przed wersjami 2.2.25, 3.1.23 i 3.2.8 parser Rack::Multipart::Parser może zachować przetworzone dane w wewnętrznym buforze StringScanner, gdy odczyty kończą się wewnątrz lub bezpośrednio po nagłówkach multipart. Nieuwierzytelniony atakujący może wyrównać wiele małych części do granic rack.multipart.buffer_size, aby bufor rósł wraz z żądaniem, powodując wyczerpanie pamięci procesu roboczego.

Rack to modularny interfejs serwera WWW dla Ruby. Przed wersjami 2.2.25, 3.1.23 i 3.2.8 Rack::Static serwuje ścieżkę po normalizacji Utils.clean_path_info, ale ocenia header_rules względem ścieżki tylko zdekodowanej URL. Nieuwierzytelniony atakujący może zażądać znanego pliku przez surowe lub procentowo zakodowane segmenty kropkowe i otrzymać go bez nagłówków bezpieczeństwa specyficznych dla ścieżki.

W Rack funkcja Rack::Multipart::Parser.parse_boundary może pominąć wiodący pusty lub cytowany parametr boundary w nagłówku Content-Type typu multipart i zaakceptować późniejszy parametr. Rack może więc przetworzyć treść żądania z boundary, którego zgodny pośrednik by nie wyprowadził, pozwalając polom formularza lub przesyłanym plikom dotrzeć do aplikacji bez zamierzonej inspekcji proxy lub WAF. Luka została naprawiona w wersjach 2.2.25, 3.1.23 i 3.2.8.

Rack, modularny interfejs serwera WWW w Ruby, w wersjach przed 2.2.22, 3.1.20 i 3.2.5 generuje indeks katalogu HTML, w którym każdy plik jest linkiem. Jeśli na dysku istnieje plik o nazwie zaczynającej się od schematu javascript: (np. javascript:alert(1)), wygenerowany link ma href równy javascript:alert(1), co pozwala na wykonanie JavaScript po kliknięciu.

Rack::Request nieprawidłowo parsuje nagłówek Host, akceptując znaki takie jak /, ?, # i @, które nie są dozwolone w RFC. Funkcja req.host zwraca pełną, nieprzefiltrowaną wartość, co pozwala na ominięcie walidacji hosta opartej na prostych prefiksach lub sufiksach.

Rack w wersjach od 3.0.0.beta1 do 3.1.20 oraz 3.2.0 do 3.2.5 zawiera podatność DoS w parserze multipart. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie multipart/form-data z wieloma częściami zawierającymi długie, uciekane wartości parametrów, co powoduje nadmierne zużycie CPU podczas parsowania.

Rack przed wersjami 3.1.21 i 3.2.6 nieprawidłowo parsuje nagłówek Forwarded (RFC 7239), dzieląc na średniki przed obsługą wartości cytowanych. Ponieważ cytowane wartości mogą zawierać średniki, nagłówek może być interpretowany jako wiele dyrektyw Forwarded, co umożliwia atakującym przemycanie parametrów host, proto, for lub by.

Rack::Multipart::Parser nieprawidłowo rozwija złożone nagłówki multipart, zachowując CRLF w wartościach parametrów. Może to prowadzić do wstrzykiwania nagłówków lub dzielenia odpowiedzi HTTP w aplikacjach używających tych wartości.

W bibliotece Rack (modularny interfejs serwera WWW w Ruby) w wersjach przed 2.2.23, 3.1.21 i 3.2.6 metoda Rack::Files#fail ustawia nagłówek Content-Length przy użyciu String#size zamiast String#bytesize. Gdy treść odpowiedzi zawiera wielobajtowe znaki UTF-8, deklarowana długość jest mniejsza niż faktyczna liczba wysłanych bajtów. Atakujący może wykorzystać tę rozbieżność, żądając nieistniejącej ścieżki z zakodowanymi procentowo znakami UTF-8, co prowadzi do nieprawidłowego ramowania odpowiedzi HTTP i potencjalnej desynchronizacji odpowiedzi w środowiskach polegających na błędnej wartości Content-Length.

W Rack przed wersjami 2.2.23, 3.1.21 i 3.2.6 stwierdzono podatność w Rack::Sendfile#map_accel_path. Wstrzykiwanie nagłówka X-Accel-Mapping do wyrażenia regularnego bez odpowiedniego escapowania umożliwia atakującemu kontrolę nad nagłówkiem X-Accel-Redirect, co może prowadzić do serwowania nieautoryzowanych plików przez nginx.