Rack : autorité HTTP contrôlable dans les URL générées par la requête

Veille sécuritéBackend & données

P4Moyenne

Dans Rack 3.0, les méthodes host_with_port, base_url et url de Rack::Request peuvent renvoyer directement une autorité invalide contrôlée par l’attaquant depuis les en-têtes Host, X-Forwarded-Host ou Forwarded. Selon l’usage applicatif, cela peut manipuler des redirections, contourner une vérification de liste d’autorisation fondée sur des chaînes ou refléter du contenu non échappé ; mettre à niveau Rack, et noter que Rails surcharge ces méthodes et n’est pas attendu comme affecté.

IdentifiantCVE-2026-125109

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.1.23, 3.2.8

Source : NVD — CVE-2026-125109

Analyse technique

Les valeurs d’autorité provenant des en-têtes indiqués sont renvoyées sans validation suffisante par Rack::Request.

Impact, versions et correctif

Événement datéLa fiche indique une publication le 2026-11-09T22:18:42.127Z, soit le 2026-11-10T00:18:42.127+02:00, dans la période ; sa mise à jour substantielle indiquée au 2026-11-10T17:17:26Z est également dans la période.

ImpactPeut affecter les URL absolues, redirections et contrôles d’origine construits à partir de ces méthodes.

Versions affectéesRack 3.0 jusqu’aux versions antérieures à 3.1.23 et 3.2.8.

Version corrigée3.1.23, 3.2.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.8

EPSS0,22% · percentile 12,9%

Publication2026-11-10T00:18:42.127+02:00

Mise à jour2026-11-10T19:17:26+02:00

Action recommandée

Mettre à niveau Rack vers 3.1.23 ou 3.2.8 et valider indépendamment les hôtes acceptés.

Sources

NVD — CVE-2026-125109

Priorisation DFS : P4 · 1 source(s).