Veille sécuritéBackend & données
P4Moyenne
Rack::Static peut appliquer ses règles d’en-têtes à un chemin décodé mais non normalisé, alors que le fichier servi est déterminé après normalisation du chemin. Une requête avec des segments dot peut ainsi obtenir un fichier connu sans des en-têtes de sécurité spécifiques au chemin ; mettre à niveau Rack, en particulier si l’application utilise header_rules dépendant du chemin.
Ruby
IdentifiantCVE-2026-125110
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.2.25, 3.1.23, 3.2.8
Source : NVD — CVE-2026-125110
Analyse technique
Le chemin utilisé pour évaluer header_rules n’est pas normalisé de la même manière que celui utilisé pour servir le fichier.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-11-09T22:18:42.287Z, soit le 2026-11-10T00:18:42.287+02:00, dans la période.
ImpactUn fichier peut être servi sans les en-têtes de sécurité prévus pour son chemin.
Versions affectéesVersions antérieures à 2.2.25, 3.1.23 et 3.2.8.
Version corrigée2.2.25, 3.1.23, 3.2.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,25% · percentile 16,6%
Publication2026-11-10T00:18:42.287+02:00
Mise à jour2026-11-10T00:18:42.287+02:00
Action recommandée
Mettre à niveau Rack vers une version corrigée ; vérifier l’usage de règles header_rules spécifiques aux chemins.
Sources
Priorisation DFS : P4 · 1 source(s).