CVE-2025-61771

Rack modulyar Ruby veb server interfeysidir. 2.2.19, 3.1.17 və 3.2.2 versiyalarından əvvəlki versiyalarda `Rack::Multipart::Parser` fayl olmayan forma sahələrini (`filename` olmadan hissələri) tamamilə yaddaşda Ruby `String` obyektləri kimi saxlayır. multipart/form-data sorğusundakı tək bir böyük mətn sahəsi (yüzlərlə meqabayt və ya daha çox) ekvivalent proses yaddaşını istifadə edə bilər ki, bu da potensial olaraq yaddaşın dolması (OOM) şəraitinə və xidmətdən imtinaya (DoS) səbəb ola bilər. Hücumçular həddindən artıq yaddaş istifadəsini tətikləmək üçün böyük fayl olmayan sahələr göndərə bilərlər. Təsir sorğu ölçüsü və eyni vaxtda gələn sorğuların sayına görə dəyişir, bu da potensial olaraq işçi proseslərin çökməsinə və ya ciddi zibil yığma (garbage-collection) yüklənməsinə səbəb olur. Multipart forma göndərişlərini emal edən bütün Rack tətbiqləri bundan təsirlənir. 2.2.19, 3.1.17 və 3.2.2 versiyaları fayl olmayan sahələr üçün ağlabatan ölçü limiti (məsələn, 2 MiB) tətbiq edir. Alternativ həll yollarına veb-server və ya proksi səviyyəsində maksimum sorğu gövdəsinin ölçüsünü məhdudlaşdırmaq (məsələn, Nginx `client_max_body_size`) və tətbiq səviyyəsində qeyri-adi dərəcədə böyük forma sahələrini yoxlamaq və rədd etmək daxildir.