CVE-2026-61666

WysokieCVSS 8.9

Opublikowano: 17/08/2026(UTC)Przetłumaczono: 18/08/2026(UTC)NVD NIST

Streszczenie

websocket-driver przed wersją 0.8.2 ma podatność w WebSocket::Driver.server(), która przekazuje złośliwy nagłówek Host do URI.parse w lib/websocket/http/request.rb bez łapania wyjątku URI::InvalidURIError, co pozwala zdalnemu klientowi na crash serwera WebSocket opartego na TCP, gdy aplikacja nie łapie błędu z parse(). Problem naprawiono w wersji 0.8.2.

Ocena ryzyka

Zdalny atakujący może spowodować awarię serwera WebSocket, prowadząc do niedostępności usługi (DoS).

Rekomendacja

Zaktualizuj websocket-driver do wersji 0.8.2 lub nowszej.

Oryginalny opis (angielski, źródło NVD)

websocket-driver is a WebSocket protocol handler with pluggable I/O. Prior to 0.8.2, WebSocket::Driver.server() passes a malformed Host header to URI.parse in lib/websocket/http/request.rb without catching URI::InvalidURIError, allowing a remote client to crash a TCP-backed WebSocket server when the application does not catch the error from parse(). This issue is fixed in version 0.8.2.