PT-2026-30806 · Unknown · Rack::Session

Sm1Ee · Publicado 2026-04-07 · Atualizado 2026-04-28 · CVE-2026-39324

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Rack::Session versões 2.0.0 até 2.1.1

Description Rack::Session é uma implementação de gerenciamento de sessão para Rack. As versões 2.0.0 até 2.1.1 lidam incorretamente com falhas de descriptografia quando configuradas com segredos. Se a descriptografia do cookie falhar, a implementação recorre a um decodificador padrão em vez de rejeitar o cookie. Isso permite que um invasor não autenticado forneça um cookie de sessão criado que seja aceito como dados de sessão válidos sem conhecimento de nenhum segredo configurado. Um invasor pode manipular o conteúdo da sessão e potencialmente obter acesso não autorizado.

Recommendations Atualize o Rack::Session para a versão 2.1.2 ou posterior.

Exploit

Correção

RCE

Insufficient Verification of Data Authenticity

Improper Authentication

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-345

CWE-287

CWE-502

CWE-565

Identificadores relacionados

CVE-2026-39324

GHSA-33QG-7WPP-89CQ

OPENSUSE-SU-2026:10604-1

USN-8190-1

USN-8190-2

Produtos afetados

Rack::Session

Referências · 23

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/rack-session/CVE-2026-39324.yml · Exploit
• https://github.com/rack/rack-session/security/advisories/GHSA-33qg-7wpp-89cq · Aviso do Fabricante
• https://github.com/rack/rack-session · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-39324 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-33qg-7wpp-89cq · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-39324 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-8190-2 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-39324 · Aviso do Fabricante
• https://twitter.com/vulert_official/status/2041884750709977160 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-39324 · Aviso do Fabricante
• https://twitter.com/0dayPublishing/status/2041582935640269042 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1sft88v/resumen_diario_de_vulnerabilidades_08042026 · Publicação no Reddit
• https://cve.org/CVERecord?id=CVE-2026-39324 · Nota de Segurança
• https://osv.dev/vulnerability/USN-8190-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-39324 · Nota