CVE-2026-23885

Alchemy, Ruby on Rails dilində yazılmış açıq mənbəli məzmun idarəetmə sistemi mühərrikidir. Versiya 7.4.12 və 8.0.3-dən əvvəl tətbiq, `Alchemy::ResourcesHelper#resource_url_proxy` daxilində `resource_handler.engine_name` atributu tərəfindən təmin edilən sətiri dinamik şəkildə icra etmək üçün Ruby `eval()` funksiyasından istifadə edir. Zəiflik `app/helpers/alchemy/resources_helper.rb` faylının 28-ci sətrində mövcuddur. Kodda `# rubocop:disable Security/Eval` ilə təhlükəsizlik yoxlamasının aşkar şəkildə yan keçilməsi göstərir ki, təhlükəli funksiyanın istifadəsi məlum olub, lakin düzgün şəkildə aradan qaldırılmayıb. `engine_name` inzibati konfiqurasiyalarla təsir edilə bilən modul təriflərindən götürüldüyü üçün bu, autentifikasiya olunmuş hücumçuya Ruby qumcuğunu (sandbox) keçməyə və host ƏS-də ixtiyari sistem əmrlərini icra etməyə imkan verir. Versiyalar 7.4.12 və 8.0.3 `eval()` funksiyasını `send()` ilə əvəzləyərək problemi həll edir.