Crass: Deeply nested CSS blocks and functions can trigger a SystemStackError or excessive memory usage

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Crass is a Ruby CSS parser that's fully compliant with the CSS Syntax Level 3 specification. Prior to 1.0.7, Crass recursively parses CSS simple blocks and functions without a depth guard. An attacker-controlled CSS value containing deeply nested blocks or functions can recurse until Ruby raises SystemStackError: stack level too deep, or cause excessive memory usage. Version 1.0.7 adds a configurable depth limit with a conservative default. This issue is fixed in version 1.0.7.

Etkilenen sürümler1 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…/crass/security/advisories/GHSA-6jxj-px6v-747w Diğer
• github.com/…ommit/cf68287356ec6e20d51cfc4a2d0c3912b7334e99 Diğer
• github.com/rgrove/crass/releases/tag/v1.0.7 Diğer

Kayıt geçmişi

1. 30 Eki 2026 21:43Yayımlandı

İlgili açıklar

• 6,3 CVE-2026-61848Crass: Non-ASCII characters cause superlinear CPU consumption
• 6,3 CVE-2026-61847Crass: A large number of adjacent CSS comments can trigger a SystemStackError
• 8,9 CVE-2026-61845Crass Ruby CSS ayrıştırıcısında büyük üs değerleri nedeniyle hizmet reddi (DoS)
• 5,3 CVE-2026-116695Crass Ruby CSS ayrıştırıcısında hatalı belirteçleme nedeniyle CSS temizleyici atlatma açığı
• 8,2 CVE-2026-120135Apache Thrift Java TProtocolUtil.skip özyinelemeyi varsayılan olarak sınırlamıyor
• 5,9 CVE-2026-62303Pistache: DoS via stack exhaustion in REST router path normalization (regex_replace on long slash runs)