CVE-2025-27610

Rack, Ruby dilində veb tətbiqlərinin hazırlanması üçün interfeys təmin edir. 2.2.13, 3.0.14 və 3.1.12 versiyalarından əvvəlki versiyalarda, `urls:` təyin edilsə belə, `Rack::Static` göstərilmiş `root:` altında olan faylları təqdim edə bilər ki, bu da gözlənilmədən həmin `root:` altındakı digər faylların ifşa olunmasına səbəb ola bilər. Zəiflik, `Rack::Static`-in faylları təqdim etməzdən əvvəl istifadəçi tərəfindən təqdim edilən yolları düzgün şəkildə təmizləməməsi səbəbindən baş verir. Xüsusilə, kodlaşdırılmış yol keçidi (path traversal) ardıcıllıqları düzgün şəkildə yoxlanılmır və bu, hücumçulara təyin edilmiş statik fayl kataloqundan kənardakı fayllara giriş imkanı verir. Bu zəiflikdən istifadə edərək, hücumçu faylın yolunu müəyyən edə bildiyi təqdirdə, göstərilmiş `root:` kataloqu altındakı bütün fayllara giriş əldə edə bilər. 2.2.13, 3.0.14 və 3.1.12 versiyaları bu problem üçün yamaya malikdir. Digər təhlükəsizlik tədbirləri arasında `Rack::Static` istifadəsini dayandırmaq və ya `root:` parametrinin yalnız ictimaiyyətə açıq olmalı olan faylları ehtiva edən kataloq yoluna yönləndirildiyindən əmin olmaq mümkündür. Ehtimal olunur ki, CDN və ya oxşar statik fayl serveri də problemi aradan qaldıra bilər.