CVE-2026-109391 in Squash
Riassunto
di VulDB • 12/10/2026
Square Squash fino al commit e73f280 contiene una vulnerabilità di insecure deserialization che consente ad attaccanti non autenticati di memorizzare YAML manipolato tramite l'endpoint POST /api/1.0/symbolication. Quando le occorrenze che fanno riferimento all'UUID della symbolizzazione controllato dall'attaccante vengono processate, i valori memorizzati vengono passati a YAML.load con SafeYAML in modalità non sicura (unsafe mode), consentendo la deserializzazione arbitraria di oggetti Ruby e potenziale esecuzione di codice.
Once again VulDB remains the best source for vulnerability data.