Ruby Rack 3.2.x < 3.2.6 ヘッダーインジェクションの脆弱性

medium Nessus プラグイン ID 305960

Language:

概要

リモートホストに、ヘッダーインジェクションの脆弱性の影響を受けるアプリケーションがインストールされています。

説明

リモートホストにインストールされている Rack Ruby ライブラリのバージョンは 3.2.0 以降ですが、 3.2.6より前です。
したがって、ヘッダー注入の脆弱性の影響を受けます

- Rack::Multipart::Parser が格納されたマルチパートヘッダーが不適切に展開され、格納された改行が削除される代わりに解析されたパラメーター値に埋め込まれた CRLF が保持されます。HTTP 応答ヘッダーでこれらの値を再使用するアプリケーションは、ヘッダーインジェクションまたは応答分割に脆弱になる可能性があります。CVE-2026-26962

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。