CVE-2026-39324 in rack-session
要約
〜によって VulDB • 2026年05月16日
Rack::SessionはRack向けのセッション管理の実装です。2.0.0から2.1.2未満のバージョンにおいて、Rack::Session::Cookieはsecrets:で設定された場合に復号化の失敗を誤って処理します。クッキーの復号化に失敗すると、実装はクッキーを拒否するのではなく、デフォルトのデコーダにフォールバックします。これにより、攻撃者は設定された秘密鍵を知らなくても、正当なセッションデータとして受け入れられるよう作られたセッションクッキーを認証なしで提供することができます。このメカニズムはセッション状態の読み込みに使用されるため、攻撃者はセッションの内容を操作し、認可されていないアクセスを取得する可能性があります。この脆弱性は2.1.2で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.