Crass — déni de service par grands exposants numériques (CVE-2026-61845)

Veille sécuritéBackend & données

P3Élevée

Crass peut consommer excessivement CPU et mémoire lors de l’analyse de CSS contenant de très grands exposants numériques, pouvant entraîner un déni de service ou un plantage. Le problème concerne les versions antérieures à 1.0.7 ; mettre à niveau vers Crass 1.0.7 ou une version ultérieure.

IdentifiantCVE-2026-61845

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifCrass 1.0.7

Source : GitHub Advisory Database — GHSA-6wmf-3r64-vcwv

Analyse technique

L’exponentiation de valeurs en notation scientifique est effectuée sans borne avant le plafonnement à Float::MAX. Un attaquant peut déclencher le traitement avec une chaîne CSS fournie à une application qui utilise Crass.

Impact, versions et correctif

Événement datéL’avis GHSA indique une publication le 2026-10-20 à 14:32:39Z, soit pendant la période demandée, qui s’étend du 2026-10-19T22:00:00Z au 2026-10-20T22:00:00Z.

ImpactDéni de service par consommation excessive de CPU et de mémoire ; un processus peut planter.

Versions affectéesCrass < 1.0.7

Version corrigéeCrass 1.0.7

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.6 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Publication2026-10-20T14:32:39Z

Mise à jour2026-10-20T14:32:40Z

Détection / vérification

Vérifier la version de la dépendance RubyGems crass dans les fichiers de dépendances et les environnements déployés.

Action recommandée

Mettre à niveau Crass vers la version 1.0.7 ou ultérieure, puis vérifier que les services qui analysent du CSS fourni par des utilisateurs utilisent bien la version corrigée.

Sources

GitHub Advisory Database — GHSA-6wmf-3r64-vcwv

Priorisation DFS : P3 · 1 source(s).