Déni de service possible via ActiveSupport safe_constantize

Veille sécuritéBackend & données

P3Élevée

Une expression régulière construite à partir du nom de constante fourni pouvait provoquer un défaut du compilateur d’expressions régulières et faire planter le processus Ruby, entraînant un déni de service. Le risque concerne notamment les applications exposant Action Cable sans authentification; mettre à niveau Active Support vers une version corrigée ou appliquer les mesures d’atténuation indiquées dans l’avis.

IdentifiantCVE-2026-126080

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctifactivesupport 8.0.5.2 et 8.1.4.1

Source : GHSA-8474-xrp6-wh69 — Active Support: Possible DoS vulnerability in Active Support safe_constantize

Analyse technique

Lorsque la recherche d’une constante déclenche LoadError, safe_constantize construisait une expression régulière à partir du nom demandé sans l’échapper. L’avis indique que le correctif compare littéralement le premier segment du nom de constante au message d’erreur, sans compiler d’expression régulière.

Impact, versions et correctif

Événement datéAvis GHSA publié le 2026-11-10 à 21:34:11Z, soit le 2026-11-10 à 23:34:11+02:00, dans la période demandée.

ImpactUn attaquant pouvant atteindre le code vulnérable avec un nom de constante contrôlé peut provoquer un plantage du processus et rendre le service indisponible.

Versions affectéesactivesupport < 8.0.5.2; activesupport >= 8.1.0.beta1 et < 8.1.4.1

Version corrigéeactivesupport 8.0.5.2 et 8.1.4.1

ContournementPour les applications sans Action Cable, désactiver son point de montage avec config.action_cable.mount_path = nil. Sinon, refuser les connexions non authentifiées dans ApplicationCable::Connection#connect; cela limite l’exposition sans la supprimer pour les utilisateurs authentifiés.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-11-10T23:34:11+02:00

Mise à jour2026-11-10T23:34:11+02:00

Détection / vérification

Vérifier les versions d’Active Support utilisées et si l’application expose Action Cable à des clients non authentifiés ou transmet d’autres entrées non fiables à safe_constantize.

Action recommandée

Mettre à niveau activesupport vers 8.0.5.2 ou 8.1.4.1, selon la branche utilisée. À défaut, appliquer les mesures d’atténuation décrites dans l’avis.

Sources

Priorisation DFS : P3 · 2 source(s).