CVE-2026-54297
Faraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.10.6, 2.14.3
Обновите библиотеку Faraday до версий 1.10.7, 2.14.4 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
DoS через исчерпание стека при рекурсивном парсинге параметров в Faraday.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Модуль Faraday::NestedParamsEncoder парсит глубоко вложенные строки запросов без проверки предельного уровня вложенности. Функция dehash рекурсивно обходит сформированную структуру Hash, вызывая необрабатываемое исключение SystemStackError (stack level too deep).
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Аварийное падение рабочего потока или процесса приложения (DoS) при обработке внешнего HTTP-запроса.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
lostislandfaraday
>= 1.0.0➔Fix: 1.10.6
lostislandfaraday
>= 2.0.0.alpha.pre.1➔Fix: 2.14.3
——
>= 2.0.0➔Fix: 2.14.3
——
>= 1.0.0➔Fix: 1.10.6
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-54297: Faraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters. URL: https://cve.futuretools.ru/cve/CVE-2026-54297
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_54297,
title = {{CVE-2026-54297: Faraday: Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-54297}},
note = {Оперативный инженерный анализ киберугроз}
}