Veille sécuritéBackend & données
P4Moyenne
Dans Active Support 8.1, la sérialisation MessagePack peut restaurer comme sûre pour HTML une SafeBuffer qui avait perdu cet état, par exemple après modification en place. Si une telle valeur contient des données non fiables puis est rendue, l’échappement automatique ERB peut être contourné ; mettre à niveau vers 8.1.4.1 et vérifier l’usage de MessagePack avec ces buffers.
Ruby
IdentifiantCVE-2026-126075
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif8.1.4.1
Source : NVD — CVE-2026-126075
Analyse technique
L’exposition dépend de l’utilisation d’un sérialiseur MessagePack et du stockage puis rendu d’une SafeBuffer modifiée en place contenant des données non fiables.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-11-10T21:19:25.880Z, soit le 2026-11-10T23:19:25.880+02:00, dans la période.
ImpactPeut permettre une XSS si une valeur restaurée comme sûre est rendue sans échappement.
Versions affectéesActive Support 8.1 antérieur à 8.1.4.1 ; Rails 8.0 et antérieur ne sérialisent pas SafeBuffer avec MessagePack selon la fiche.
Version corrigée8.1.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
Publication2026-11-10T23:19:25.880+02:00
Mise à jour2026-11-10T23:19:25.880+02:00
Action recommandée
Mettre à niveau Active Support vers 8.1.4.1 et examiner les sérialiseurs MessagePack utilisant des SafeBuffer non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).