CVE-2025-61921

WysokieCVSS 7.5

Opublikowano: 10/10/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

Sinatra w wersjach przed 4.2.0 ma podatność na odmowę usługi w komponencie parsowania nagłówków If-Match i If-None-Match, gdy używana jest metoda etag przy konstruowaniu odpowiedzi. Starannie spreparowane dane wejściowe mogą powodować nieoczekiwanie długi czas parsowania.

Ocena ryzyka

Atakujący może wywołać wektor odmowy usługi, przeciążając aplikację poprzez żądania z odpowiednio spreparowanymi nagłówkami.

Rekomendacja

Zaktualizuj Sinatra do wersji 4.2.0. Do czasu aktualizacji rozważ ograniczenie lub walidację nagłówków If-Match i If-None-Match na poziomie serwera proxy.

Inne podatności w Sinatra

CVE-2024-21510Średnie
Pakiety sinatra od wersji 0.0.0 są podatne na poleganie na niezaufanych danych wejściowych w decyzji bezpieczeństwa poprzez nagłówek X-Forwarded-Host (XFH). Podczas żądania do metody z przekierowaniem można wywołać atak Open Redirect, wstawiając dowolny adres do tego nagłówka. W przypadku buforowania (np. Nginx) lub reverse proxy bez obsługi X-Forwarded-Host atakujący mogą wykorzystać Cache Poisoning lub Routing-based SSRF.

Oryginalny opis (angielski, źródło NVD)

Sinatra is a domain-specific language for creating web applications in Ruby. In versions prior to 4.2.0, there is a denial of service vulnerability in the `If-Match` and `If-None-Match` header parsing component of Sinatra, if the `etag` method is used when constructing the response. Carefully crafted input can cause `If-Match` and `If-None-Match` header parsing in Sinatra to take an unexpected amount of time, possibly resulting in a denial of service attack vector. This header is typically involved in generating the `ETag` header value. Any applications that use the `etag` method when generating a response are impacted. Version 4.2.0 fixes the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS