Veille sécuritéBackend & données
P3Élevée
Le parseur multipart de Rack peut conserver des données déjà analysées dans son tampon StringScanner lorsque la lecture s’arrête autour des en-têtes multipart. Un attaquant non authentifié peut provoquer une croissance excessive du tampon avec de nombreuses petites parties et épuiser la mémoire d’un worker ; mettre à niveau Rack.
Ruby
IdentifiantCVE-2026-125111
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.2.25, 3.1.23, 3.2.8
Source : NVD — CVE-2026-125111
Analyse technique
L’attaque nécessite un corps multipart bien formé et concerne les applications qui analysent des requêtes multipart.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-11-09T22:18:42.433Z, soit le 2026-11-10T00:18:42.433+02:00, dans la période.
ImpactL’épuisement mémoire d’un worker peut rendre le service indisponible.
Versions affectéesVersions antérieures à 2.2.25, 3.1.23 et 3.2.8.
Version corrigée2.2.25, 3.1.23, 3.2.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,37% · percentile 30,7%
Publication2026-11-10T00:18:42.433+02:00
Mise à jour2026-11-10T00:18:42.433+02:00
Action recommandée
Mettre à niveau Rack vers 2.2.25, 3.1.23 ou 3.2.8, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).