Veille sécuritéBackend & données
P4Faible
Dans Rack, le parseur multipart peut ignorer un paramètre de boundary initial vide ou entre guillemets et accepter un paramètre ultérieur, contrairement à ce qu’un intermédiaire conforme pourrait interpréter. Des champs ou fichiers peuvent ainsi parvenir à l’application sans l’inspection prévue par le proxy ou le pare-feu applicatif ; mettre à niveau Rack vers une version corrigée.
Ruby
IdentifiantCVE-2026-125108
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.2.25, 3.1.23, 3.2.8
Source : NVD — CVE-2026-125108
Analyse technique
Le problème concerne Rack::Multipart::Parser.parse_boundary et l’interprétation des paramètres d’un en-tête Content-Type multipart.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-11-09T22:18:41.963Z, soit le 2026-11-10T00:18:41.963+02:00, dans la période demandée.
ImpactDes données de formulaire ou téléversements peuvent contourner l’inspection attendue par un intermédiaire.
Versions affectéesVersions antérieures à 2.2.25, 3.1.23 et 3.2.8.
Version corrigée2.2.25, 3.1.23, 3.2.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
EPSS0,24% · percentile 15,2%
Publication2026-11-10T00:18:41.963+02:00
Mise à jour2026-11-10T00:18:41.963+02:00
Action recommandée
Mettre à niveau Rack vers 2.2.25, 3.1.23 ou 3.2.8, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).