facil.io and downstream iodine ruby gem vulnerable to uncontrolled resource consumption and loop with unreachable exit condition

Üreticinin bildirdiği sürümler

Kaydı açan otorite (GitHub_M) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• boazsegev facil.io

  • < 5128747363055201d3ecf0e29bf0a961703c9fa0etkilenir

• boazsegev iodine

  • < 0.7.59etkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2026-66731facil.io 0.7.5 - 0.7.6 HTTP/1.1 Chunked Transfer Encoding Parser Crash DoS
  34İzleyin
• CVE-2026-66730facil.io 0.6.0 - 0.7.6 Infinite Loop DoS via Multipart MIME Body Parser
  34İzleyin
• CVE-2026-66729facil.io 0.6.0 - 0.7.6 Integer Underflow DoS via Multipart MIME Body Parser
  34İzleyin
• CVE-2026-16653boazsegev facil.io Public Folder http.c http_sendfile2 path traversal
  22İzleyin
• CVE-2026-16632boazsegev facil.io WebSocket Frame websocket_parser.h websocket_on_protocol_error input validation
  22İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

İç içe yapıları çözümleyen kod derinlik ya da boyut sınırı koymuyor. Küçük bir girdi orantısız işlem yüküne dönüşebilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("çok derin");4  return node.children.map((c) => expand(c, depth + 1));5}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.