CVE-2026-39324 in rack-session
요약
\~에 의해 VulDB • 2026. 05. 28.
Rack::Session은 Rack을 위한 세션 관리 구현체입니다. 2.0.0부터 2.1.2 미만 버전까지, Rack::Session::Cookie는 secrets: 구성 시 복호화 실패를 잘못 처리합니다. 쿠키 복호화에 실패하면 구현체는 쿠키를 거부하는 대신 기본 디코더로 폴백합니다. 이로 인해 인증되지 않은 공격자는 구성된 비밀 키를 알지 못하더라도 유효한 세션 데이터로 받아들여지는 조작된 세션 쿠키를 제공할 수 있습니다. 이 메커니즘은 세션 상태를 로드하는 데 사용되므로, 공격자가 세션 내용을 조작하고 잠재적으로 무단 접근을 얻을 수 있습니다. 이 취약점은 2.1.2에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.