CVE-2026-33176
WysokieCVSS 7.5Streszczenie
Active Support (biblioteka Ruby z Rails) w wersjach przed 8.1.2.1, 8.0.4.1 i 7.2.3.1 akceptuje w helperach liczbowych ciągi w notacji naukowej (np. 1e10000), które BigDecimal rozwija do ogromnych liczb dziesiętnych. Formatowanie takiej liczby powoduje nadmierną alokację pamięci i zużycie CPU.
Ocena ryzyka
Atakujący może wywołać atak typu Denial of Service (DoS) poprzez przesłanie specjalnie spreparowanej wartości liczbowej, wyczerpując zasoby serwera.
Rekomendacja
Zaktualizuj Active Support do wersji 8.1.2.1, 8.0.4.1 lub 7.2.3.1 (lub nowszej). Waliduj dane wejściowe przekazywane do helperów liczbowych.
Inne podatności w Active Support
Zobacz wszystkie- CVE-2026-33170Średnie
W Active Support (Ruby on Rails) metoda SafeBuffer#% nie propaguje flagi @html_unsafe do nowo utworzonego bufora. Jeśli SafeBuffer zostanie zmodyfikowany w miejscu (np. przez gsub!) i następnie sformatowany operatorem % z niezaufanymi argumentami, wynik błędnie zwraca html_safe? == true, omijając automatyczne escapowanie ERB i mogąc prowadzić do XSS.
- CVE-2026-33169Średnie
Active Support to biblioteka pomocnicza Ruby wyodrębniona z frameworka Rails. Klasa NumberToDelimitedConverter używa wyrażenia regularnego z lookahead i metody gsub!, co przy długich ciągach cyfr może prowadzić do kwadratowej złożoności czasowej. Podatność naprawiono w wersjach 8.1.2.1, 8.0.4.1 i 7.2.3.1.
- CVE-2023-22796Wysokie
W Active Support <6.1.7.1 i <7.0.4.1 istnieje podatność na atak DoS oparta na wyrażeniach regularnych. Specjalnie spreparowany ciąg znaków przekazany do metody underscore może wprowadzić silnik wyrażeń regularnych w stan katastrofalnego backtrackingu, powodując zużycie dużych ilości CPU i pamięci.
Oryginalny opis (angielski, źródło NVD)
Active Support is a toolkit of support libraries and Ruby core extensions extracted from the Rails framework. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1, Active Support number helpers accept strings containing scientific notation (e.g. `1e10000`), which `BigDecimal` expands into extremely large decimal representations. This can cause excessive memory allocation and CPU consumption when the expanded number is formatted, possibly resulting in a DoS vulnerability. Versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 contain a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS