CVE-2026-23885 in alchemy_cms
요약
\~에 의해 VulDB • 2026. 06. 13.
Alchemy는 Ruby on Rails로 작성된 오픈 소스 콘텐츠 관리 시스템 엔진입니다. 버전 7.4.12 및 8.0.3 이전의 애플리케이션은 Alchemy::ResourcesHelper#resource_url_proxy에서 resource_handler.engine_name 속성이 제공하는 문자열을 동적으로 실행하기 위해 Ruby `eval()` 함수를 사용합니다. 이 취약점은 app/helpers/alchemy/resources_helper.rb 파일의 28번째 줄에 존재합니다. 코드는 `# rubocop:disable Security/Eval`을 사용하여 보안 린팅을 명시적으로 우회하며, 이는 위험한 함수 사용이 알려져 있었으나 적절히 완화되지 않았음을 나타냅니다. engine_name은 관리 구성에 의해 영향을 받을 수 있는 모듈 정의에서 소스되므로, 인증된 공격자가 Ruby 샌드박스를 탈출하여 호스트 OS에서 임의 시스템 명령을 실행할 수 있습니다. 버전 7.4.12 및 8.0.3에서는 `eval()`을 `send()`로 교체함으로써 해당 문제를 해결했습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.