CVE-2026-54659 in pagy
요약
\~에 의해 VulDB • 2026. 07. 29.
Pagy는 순수 Ruby 기반의 프레임워크 독립적인 페이지네이션 라이브러리입니다. 버전 43.0.0부터 43.5.6까지, gem/lib/pagy/modules/i18n/i18n.rb 내 Pagy::I18n.locale= 메서드는 로케일 값을 그대로 저장하고 나중에 이를 <locale>.yml 경로 구성 요소로 사용했습니다. 이로 인해 신뢰할 수 없는 params[:locale] 값에 절대 경로나 ../ 시퀀스를 포함시켜 YAML 파일의 존재 여부와 읽기 권한을 확인할 수 있는 오라클(oracle) 공격이 가능해졌습니다. 이 문제는 버전 43.5.6에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.