CVE-2025-61919highCWE-400

CVE-2025-61919: fallo de gravedad alta en rack

Rack is vulnerable to a memory-exhaustion DoS through unbounded URL-encoded body parsing

Publicada el

Seguir esta CVE+ Monitorear rack+ Monitorear rack

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 0.6%
En resumen

Los servidores Rack pueden ser derribados enviando solicitudes con datos de formulario muy grandes que agotan toda la memoria disponible. Un atacante puede enviar formularios URL-encoded gigantescos, causando que el servidor se quede sin memoria y deje de responder.

Detalle técnico

Rack::Request#POST en versiones anteriores a 2.2.20, 3.1.18 y 3.2.3 realiza almacenamiento ilimitado en búfer de cuerpos de solicitud application/x-www-form-urlencoded mediante rack.input.read(nil), sin límites de tamaño aplicados. Un atacante remoto no autenticado puede enviar una solicitud POST grande con Content-Type: application/x-www-form-urlencoded para agotar la memoria del servidor y provocar denegación de servicio. La mitigación requiere actualizar a versiones parcheadas e imponer límites de tamaño de cuerpo en la capa de proxy/servidor web.

Resumen generado y traducido por IA a partir de la descripción oficial.
Rack is a modular Ruby web server interface. Prior to versions 2.2.20, 3.1.18, and 3.2.3, `Rack::Request#POST` reads the entire request body into memory for `Content-Type: application/x-www-form-urlencoded`, calling `rack.input.read(nil)` without enforcing a length or cap. Large request bodies can therefore be buffered completely into process memory before parsing, leading to denial of service (DoS) through memory exhaustion. Users should upgrade to Rack version 2.2.20, 3.1.18, or 3.2.3, anu of which enforces form parameter limits using `query_parser.bytesize_limit`, preventing unbounded reads of `application/x-www-form-urlencoded` bodies. Additionally, enforce strict maximum body size at the proxy or web server layer (e.g., Nginx `client_max_body_size`, Apache `LimitRequestBody`).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
rack · rack
CVEs relacionadas — rack

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-25126MEDIUMRack ReDos in content type parsing (2nd degree polynomial)EPSS 35.4%CVE-2019-16782MEDIUMPossible Information Leak / Session Hijack Vulnerability in RackEPSS 3.7%CVE-2024-26146MEDIUMPossible Denial of Service Vulnerability in Rack Header ParsingEPSS 2.0%CVE-2024-26141MEDIUMPossible DoS Vulnerability with Range Header in RackEPSS 1.6%CVE-2025-46727HIGHUnbounded-Parameter DoS in Rack::QueryParserEPSS 1.2%CVE-2025-25184MEDIUMPossible Log Injection in Rack::CommonLoggerEPSS 1.2%