JVNDB-2026-021248

Faraday ProjectのFaradayにおける再帰制御に関する脆弱性

Faradayは、多くのアダプターに共通のインターフェースを提供するHTTPクライアントライブラリの抽象化レイヤーです。バージョン1.0.0から1.10.6および2.14.3までのFaraday::NestedParamsEncoder（Faradayにおけるデフォルトのネストされたクエリパラメーターのエンコーダーおよびデコーダー）は、最大ネスト深度を強制せずにネストされたクエリ文字列をデコードします。巧妙に作成されたクエリ文字列によって、Faradayは深くネストされたRubyのHash構造を構築します。その後、内部のdehashルーチンが深度制限なしにこの攻撃者制御の構造を再帰的に走査します。十分な深さに達すると、Rubyは補足されないSystemStackError（スタックレベルが深すぎる）を発生させて呼び出しスレッドまたはワーカーをクラッシュさせます。これにより、攻撃者が制御するクエリ文字列をFaradayのネストされたクエリ解析やURL構築の経路に渡すアプリケーションにおいてサービス拒否が発生する可能性があります。この脆弱性はバージョン1.10.6および2.14.3で修正されています。

Faraday Project

• Faraday 1.0.0 以上 1.10.6 未満
• Faraday 2.0.0 以上 2.14.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Uncontrolled recursion in NestedParamsEncoder allows stack exhaustion DoS via deeply nested query parameters  Advisory  lostisland/faraday  GitHub

1. 不適切な再帰制御(CWE-674) [その他]

1. CVE-2026-54297

1. National Vulnerability Database (NVD) : CVE-2026-54297

• [2026年06月29日]
    掲載