CVE-2026-62864

WysokieCVSS 7.5

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Ring przed wersją 1.15.5 zawiera podatność w middleware wrap-nested-params, które używa wyrażenia regularnego z cofaniem do dopasowywania nazw parametrów. Atakujący może spreparować nazwę parametru powodującą kwadratowe zużycie CPU (O(n^2)), prowadząc do odmowy usługi. Użytkownicy Ring-Defaults są również narażeni, ponieważ middleware jest domyślnie włączony.

Ocena ryzyka

Zdalny atakujący może wyczerpać zasoby CPU aplikacji poprzez żądania z długimi nazwami parametrów, powodując odmowę usługi. Dotyczy to aplikacji korzystających z tego middleware.

Rekomendacja

Zaktualizuj bibliotekę Ring do wersji 1.15.5 lub nowszej. Jeśli to możliwe, wyłącz middleware nested-params, jeśli nie jest używany.

Inne podatności w Ring

CVE-2025-4432Średnie
W pakiecie Ring dla języka Rust wykryto błąd powodujący panikę przy włączonym sprawdzaniu przepełnienia. W protokole QUIC atakujący może wywołać tę panikę, wysyłając specjalnie spreparowany pakiet. Problem występuje średnio raz na 2^32 pakietów.

Oryginalny opis (angielski, źródło NVD)

Ring is a Clojure web applications library inspired by Python's WSGI and Ruby's Rack. Prior to 1.15.5, `wrap-nested-params` in the `ring.middleware.nested-params` namespace uses a backtracking regular expression to match parameter names from URL query strings and HTTP request bodies. An attacker can craft a parameter name that drives quadratic O(n^2) matching work, causing regular-expression denial of service in applications using the middleware. `Ring-Defaults` users are also exposed because nested-params is enabled by default. Applications omitting the middleware do not expose this parsing path. This issue is fixed in version 1.15.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS