FICHE CVE

CVE-2026-67991

Publiée le 2026-08-13 · Dernière modification le 2026-09-04

🇫🇷 EN BREF

Les systèmes utilisant la bibliothèque `ruby_llm` sur Ruby 3.1.x sont susceptibles de subir une attaque par déni de service. Un attaquant distant non authentifié peut faire planter le service ou figer le processeur en envoyant un nom de classe, d'agent ou d'outil surdimensionné et spécialement conçu. Cette attaque est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'accès préalable au système.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-08-13

Dernière modification2026-09-04

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

crmne/ruby_llm at commit fa6f279847d6d7027814539d9c0dfc3bbdfd2a83 contains a polynomial-time regular expression denial-of-service condition in RubyLLM::Utils.underscore on Ruby 3.1.x. A very long crafted class, agent, or tool name can cause excessive CPU consumption and a denial of service.