Veille sécuritéBackend & données
P4Moyenne
La gem Ruby IFSC de Razorpay présente une SSRF : une valeur IFSC spécialement construite peut détourner la requête HTTP vers un hôte choisi, y compris un hôte interne. Les versions jusqu’à 2.0.62 sont signalées comme affectées ; aucun correctif ni version corrigée n’a été vérifié dans les sources consultées.
Ruby
IdentifiantCVE-2026-110222
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110222
Analyse technique
SSRF via IFSC.find ou IFSC#get : une référence réseau ou URI absolue fournie comme code IFSC peut conduire URI.join à cibler un autre hôte et à envoyer une requête GET.
Impact, versions et correctif
Événement datéPublication de la fiche CVE le 2026-10-13 à 19:18:46.723Z (UTC), dans la période demandée. La mise à jour ultérieure de la fiche à 19:30:29.797Z n’est pas retenue comme événement distinct.
ImpactUn attaquant pouvant fournir la valeur IFSC peut provoquer des requêtes HTTP depuis l’application vers des hôtes internes ou externes, avec retour de données de réponse parsées.
Versions affectéesJusqu’à la version 2.0.62 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9 · CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Publication2026-10-13T19:18:46.723Z
Mise à jour2026-10-13T19:30:29.797Z
Action recommandée
Éviter de transmettre des valeurs IFSC non fiables à ces méthodes ; vérifier auprès du mainteneur la disponibilité d’une version corrigée avant mise à niveau.
Sources
Priorisation DFS : P4 · 1 source(s).