CVE-2026-39324 in rack-session
Riassunto
di VulDB • 20/06/2026
Rack::Session è un'implementazione della gestione delle sessioni per Rack. Dalla versione 2.0.0 fino alla versione 2.1.2 (esclusa), Rack::Session::Cookie gestisce in modo errato i fallimenti di decrittazione quando è configurato con secrets:. Se la decrittazione del cookie fallisce, l'implementazione passa a un decoder predefinito invece di rifiutare il cookie. Ciò consente a un attaccante non autenticato di fornire un cookie di sessione manipolato ad hoc che viene accettato come dati di sessione validi senza la conoscenza di alcun segreto configurato. Poiché questo meccanismo viene utilizzato per caricare lo stato della sessione, un attaccante può manipolare i contenuti della sessione e potenzialmente ottenere un accesso non autorizzato. Questa vulnerabilità è risolta nella versione 2.1.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.