Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-789

CVE-2026-61845

Crass Ruby CSS ayrıştırıcısında büyük üs değerleri nedeniyle hizmet reddi (DoS)

rgrove crass

Yüksek 8,9 CVSS 4.0
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, dışarıdan gelen içerikleri işleyen web uygulamalarının kısa süreli ya da kalıcı olarak çalışmaz hale gelmesine neden olabilir. Hizmet kesintisi müşteri deneyimini ve iş sürekliliğini olumsuz etkileyebileceğinden, etkilenen sürümlerin hızla güncellenmesi önerilir.

ÖzetTürkçe

Crass, CSS Syntax Level 3 belirtimine uyumlu bir Ruby CSS ayrıştırıcısıdır. 1.0.7 sürümünden önceki sürümlerde, bilimsel gösterim içeren sayısal değerler sınırsız üs alma işlemine tabi tutulmakta, sonuç Float::MAX değerine sınırlandırılmadan önce hesaplama yapılmaktadır. Bu durum, saldırganın kontrol ettiği CSS girdilerini işleyen uygulamaları etkiler.

Saldırgan ne yapabilir?

Saldırgan çok küçük bir CSS girdisiyle işlemci ve bellek kullanımını orantısız şekilde artırabilir; bu da uygulamanın çökmesine ya da hizmet dışı kalmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Crass is a Ruby CSS parser that's fully compliant with the CSS Syntax Level 3 specification. Prior to 1.0.7, Crass converts CSS scientific notation number values with unbounded exponentiation before clamping the result to Float::MAX. Applications that use Crass to parse attacker-controlled CSS strings can be forced to spend disproportionate CPU and memory parsing a tiny input, potentially resulting in a crash. This issue is fixed in version 1.0.7.

Ne yapmalı?

  1. Crass kütüphanesini 1.0.7 veya daha yeni bir sürüme yükseltin. Üretici
  2. Uygulamanın bağımlılık dosyalarında Crass sürümünü kontrol ederek 1.0.7 öncesi bir sürümün kullanılmadığını doğrulayın ve ardından uygulamayı yeniden dağıtın. Genel öneri

Ek önlemler

  • Ayrıştırılan CSS girdilerine makul boyut sınırları uygulayın ve zaman aşımı koruması ekleyin. Genel öneri
  • Kaynak kullanımındaki ani artışları ve işlem çökmelerini izleyerek anormal CSS isteklerini tespit edin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
rgrove crass < 1.0.7 1.0.7

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.