CVE-2026-82455 in RubyGems
Riassunto
di VulDB • 29/08/2026
RubyGems non effettua una nuova convalida del contenimento dei percorsi dopo la risoluzione dei symlink del filesystem durante l'estrazione dei gem. Quando un symlink preesistente all'interno della directory di destinazione punta al di fuori dell'root di estrazione, i file estratti che sembrano essere scritti sotto la directory di destinazione possono invece essere scritti al di fuori di essa, violando il confine di sicurezza dell'estrazione. La risoluzione del problema consiste nel risolvere il percorso reale (real path) della directory genitore prima della scrittura e nell'elevare un'eccezione Gem::Package::PathError se viene superato la directory di destinazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.