CVE-2026-34785
Açıklama
Rack, modüler bir Ruby web sunucusu arayüzüdür. 2.2.23, 3.1.21 ve 3.2.6 versiyonlarından önce Rack::Static, bir isteğin statik dosya olarak sunulup sunulmayacağını basit bir dize ön eki kontrolü kullanarak belirlemektedir. "/css" gibi URL ön ekleri ile yapılandırıldığında, "/css-config.env" veya "/css-backup.sql" gibi ilgisiz yollar da dahil olmak üzere bu dizeyle başlayan tüm istek yollarıyla eşleşmektedir. Sonuç olarak, statik kök dizini altındaki ve isimleri yalnızca yapılandırılan ön eki paylaşan dosyalar istemeden sunulabilir ve bu durum bilgi ifşasına yol açabilir. Bu sorun 2.2.23, 3.1.21 ve 3.2.6 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- rack rack2.2.23, 3.1.21, 3.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rack rack | v < 2.2.23, 3.0.0 ≤ v < 3.1.21, 3.2.0 ≤ v < 3.2.6 | 2.2.23, 3.1.21, 3.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.