CVE-2025-61919highCWE-400

CVE-2025-61919: falha de alta gravidade em rack

Rack is vulnerable to a memory-exhaustion DoS through unbounded URL-encoded body parsing

Publicada em

Seguir esta CVE+ Monitorar rack+ Monitorar rack

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.6%
Em resumo

Servidores Rack podem ser derrubados enviando requisições com dados de formulário muito grandes que consomem toda a memória disponível. Um atacante pode enviar formulários URL-encoded gigantescos, fazendo o servidor ficar sem memória e parar de responder.

Detalhe técnico

Rack::Request#POST nas versões anteriores a 2.2.20, 3.1.18 e 3.2.3 realiza buffer ilimitado de corpos de requisição application/x-www-form-urlencoded via rack.input.read(nil), sem limites de tamanho impostos. Um atacante remoto não autenticado pode enviar uma requisição POST grande com Content-Type: application/x-www-form-urlencoded para esgotar a memória do servidor e causar negação de serviço. A mitigação requer atualização para versões corrigidas e imposição de limites de tamanho de corpo na camada de proxy/servidor web.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Rack is a modular Ruby web server interface. Prior to versions 2.2.20, 3.1.18, and 3.2.3, `Rack::Request#POST` reads the entire request body into memory for `Content-Type: application/x-www-form-urlencoded`, calling `rack.input.read(nil)` without enforcing a length or cap. Large request bodies can therefore be buffered completely into process memory before parsing, leading to denial of service (DoS) through memory exhaustion. Users should upgrade to Rack version 2.2.20, 3.1.18, or 3.2.3, anu of which enforces form parameter limits using `query_parser.bytesize_limit`, preventing unbounded reads of `application/x-www-form-urlencoded` bodies. Additionally, enforce strict maximum body size at the proxy or web server layer (e.g., Nginx `client_max_body_size`, Apache `LimitRequestBody`).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
rack · rack
CVEs relacionadas — rack

No mesmo produto, das mais perigosas para as menos.

CVE-2024-25126MEDIUMRack ReDos in content type parsing (2nd degree polynomial)EPSS 35.4%CVE-2019-16782MEDIUMPossible Information Leak / Session Hijack Vulnerability in RackEPSS 3.7%CVE-2024-26146MEDIUMPossible Denial of Service Vulnerability in Rack Header ParsingEPSS 2.0%CVE-2024-26141MEDIUMPossible DoS Vulnerability with Range Header in RackEPSS 1.6%CVE-2025-46727HIGHUnbounded-Parameter DoS in Rack::QueryParserEPSS 1.2%CVE-2025-25184MEDIUMPossible Log Injection in Rack::CommonLoggerEPSS 1.2%