CVE-2026-62864
Publiée le 2026-10-30 · Dernière modification le 2026-11-02
Ring est une bibliothèque d'application web pour Clojure utilisée pour gérer les requêtes HTTP, similaire à Rack pour Ruby. Les versions antérieures à la 1.15.5 contiennent une faille dans le middleware `wrap-nested-params`, qui traite les chaînes de requête URL et les corps de requête. Le problème provient d'une expression régulière qui peut être forcée dans une boucle de rétrogradation (backtracking) coûteuse en ressources lors du traitement de noms de paramètres spécifiquement conçus.
Un attaquant peut exploiter cela pour provoquer un déni de service, faisant planter ou geler l'application en consommant toutes les ressources CPU disponibles. Cette attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être effectuée à distance via le réseau. Bien qu'elle ne compromette pas la confidentialité ou l'intégrité de vos données, elle élimine complètement la disponibilité du service.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Ring is a Clojure web applications library inspired by Python's WSGI and Ruby's Rack. Prior to 1.15.5, `wrap-nested-params` in the `ring.middleware.nested-params` namespace uses a backtracking regular expression to match parameter names from URL query strings and HTTP request bodies. An attacker can craft a parameter name that drives quadratic O(n^2) matching work, causing regular-expression denial of service in applications using the middleware. `Ring-Defaults` users are also exposed because nested-params is enabled by default. Applications omitting the middleware do not expose this parsing path. This issue is fixed in version 1.15.5.