CVE-2026-33169
ŚrednieCVSS 5.3Streszczenie
Active Support to biblioteka pomocnicza Ruby wyodrębniona z frameworka Rails. Klasa NumberToDelimitedConverter używa wyrażenia regularnego z lookahead i metody gsub!, co przy długich ciągach cyfr może prowadzić do kwadratowej złożoności czasowej. Podatność naprawiono w wersjach 8.1.2.1, 8.0.4.1 i 7.2.3.1.
Ocena ryzyka
Atakujący może dostarczyć długi ciąg cyfr, powodując nadmierne zużycie CPU i opóźnienia w aplikacji Ruby on Rails. Może to prowadzić do częściowej odmowy usługi.
Rekomendacja
Zaktualizuj bibliotekę Active Support do wersji 8.1.2.1, 8.0.4.1, 7.2.3.1 lub nowszej. Unikaj przetwarzania niekontrolowanych, bardzo długich ciągów cyfr przez NumberToDelimitedConverter.
Inne podatności w Active Support
Zobacz wszystkie- CVE-2026-33176Wysokie
Active Support (biblioteka Ruby z Rails) w wersjach przed 8.1.2.1, 8.0.4.1 i 7.2.3.1 akceptuje w helperach liczbowych ciągi w notacji naukowej (np. 1e10000), które BigDecimal rozwija do ogromnych liczb dziesiętnych. Formatowanie takiej liczby powoduje nadmierną alokację pamięci i zużycie CPU.
- CVE-2026-33170Średnie
W Active Support (Ruby on Rails) metoda SafeBuffer#% nie propaguje flagi @html_unsafe do nowo utworzonego bufora. Jeśli SafeBuffer zostanie zmodyfikowany w miejscu (np. przez gsub!) i następnie sformatowany operatorem % z niezaufanymi argumentami, wynik błędnie zwraca html_safe? == true, omijając automatyczne escapowanie ERB i mogąc prowadzić do XSS.
- CVE-2023-22796Wysokie
W Active Support <6.1.7.1 i <7.0.4.1 istnieje podatność na atak DoS oparta na wyrażeniach regularnych. Specjalnie spreparowany ciąg znaków przekazany do metody underscore może wprowadzić silnik wyrażeń regularnych w stan katastrofalnego backtrackingu, powodując zużycie dużych ilości CPU i pamięci.
Oryginalny opis (angielski, źródło NVD)
Active Support is a toolkit of support libraries and Ruby core extensions extracted from the Rails framework. `NumberToDelimitedConverter` uses a lookahead-based regular expression with `gsub!` to insert thousands delimiters. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1, the interaction between the repeated lookahead group and `gsub!` can produce quadratic time complexity on long digit strings. Versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 contain a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS