GHSA-6wmf-3r64-vcwv
NieznaneStreszczenie
Podatność w bibliotece Crass powoduje nieograniczone przetwarzanie notacji naukowej w wartościach CSS przed ograniczeniem wyniku do Float::MAX. Atakujący może przesłać mały, spreparowany ciąg CSS, który wymusi nadmierne zużycie CPU i pamięci.
Ocena ryzyka
Organizacja narażona jest na atak DoS (odmowa usługi) poprzez wysłanie złośliwego CSS do aplikacji używającej Crass, co może spowodować przeciążenie serwera i przerwanie działania.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki Crass do najnowszej wersji zawierającej poprawkę. Jeśli aktualizacja nie jest możliwa, należy ograniczyć przetwarzanie CSS pochodzącego od niezaufanych źródeł.
Inne podatności w Crass
Zobacz wszystkie- GHSA-6jxj-px6v-747wNieznane
Podatność w bibliotece Crass umożliwia atakującemu wywołanie przepełnienia stosu lub nadmiernego zużycia pamięci poprzez rekurencyjne parsowanie głęboko zagnieżdżonych bloków CSS.
- GHSA-8vfg-2r28-hvhjNieznane
Podatność w bibliotece Crass powoduje nadmierne zużycie CPU podczas parsowania danych zawierających znaki spoza ASCII. Nieefektywne śledzenie pozycji znaków wielobajtowych prowadzi do superlinearnego czasu parsowania.
- GHSA-wwpr-jff3-395cNieznane
Podatność w bibliotece Crass umożliwia atak DoS poprzez dostarczenie arkusza stylów z bardzo dużą liczbą sąsiadujących komentarzy CSS, gdy opcja :preserve_comments jest wyłączona (domyślne zachowanie). Powoduje to nadmierną rekurencję i potencjalne wyczerpanie zasobów systemowych.
Oryginalny opis (angielski, źródło NVD)
## Impact Crass converts CSS scientific notation number values with unbounded exponentiation before it clamps the result to Float::MAX. Applications that use Crass to parse attacker-controlled CSS strings can be forced to spend disproportionate CPU and memory parsing a tiny input, possibly resultin