CVE-2026-33210
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Podatność typu format string injection w bibliotece Ruby JSON (wersje 2.14.0 do 2.15.2.1, 2.17.1.2 i 2.19.2) umożliwia atak DoS lub ujawnienie informacji, gdy używana jest opcja allow_duplicate_key: false do parsowania danych dostarczonych przez użytkownika. Problem został załatany w wersjach 2.15.2.1, 2.17.1.2 i 2.19.2.
Ocena ryzyka
Atakujący może spowodować odmowę usługi (DoS) lub wyciek wrażliwych informacji z systemu, co zagraża dostępności i poufności danych organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Ruby JSON do jednej z załatanych wersji: 2.15.2.1, 2.17.1.2 lub 2.19.2.
Inne podatności w Ruby JSON
Zobacz wszystkie- CVE-2026-71847Wysokie
Ruby JSON w wersjach od 2.20.0 do 2.21.2 ma podatność na use-after-free w natywnym rozszerzeniu C. Po skonsumowaniu bufora wejściowego JSON::ResumableParser, wskaźniki stanu pozostają wskazujące na zwolnioną pamięć, co przy parsowaniu niekompletnych obiektów z duplikatami kluczy może prowadzić do zakończenia procesu.
- CVE-2026-54696Niskie
Podatność w bibliotece Ruby JSON (wersje 2.9.0 do 2.19.8) powoduje przepełnienie bufora sterty podczas generowania JSON dla przesyłanego obiektu o nadmiernym rozmiarze. Atakujący może dostarczyć kontrolowany ciąg znaków bliski 16 KB, co prowadzi do zapisu poza buforem wewnętrznym generatora JSON.
Oryginalny opis (angielski, źródło NVD)
Ruby JSON is a JSON implementation for Ruby. From version 2.14.0 to before versions 2.15.2.1, 2.17.1.2, and 2.19.2, a format string injection vulnerability can lead to denial of service attacks or information disclosure, when the allow_duplicate_key: false parsing option is used to parse user supplied documents. This issue has been patched in versions 2.15.2.1, 2.17.1.2, and 2.19.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS