PT-2026-144722
CVE-2026-126067
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
3.1
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Action Pack الإصدارات السابقة لـ 8.1.4.1
Action Pack الإصدارات السابقة لـ 8.0.5.2
Description
تقوم مخازن الجلسات بخلاف
ActionDispatch::Session::CookieStore (بما في ذلك CacheStore و MemCacheStore والمخازن الخارجية المبنية على AbstractStore أو AbstractSecureStore أو إضافات الجلسة) بكتابة ملفات تعريف ارتباط الجلسة بدون سمة SameSite. يحدث هذا بغض النظر عن إعداد config.action dispatch.cookies same site protection. في المتصفحات التي لا تعامل السمة المفقودة على أنها SameSite=Lax قد تحمل الطلبات عبر المواقع ملف تعريف ارتباط الجلسة. قد يؤدي ذلك إلى تزوير الطلبات عبر المواقع (CSRF) ضد الإجراءات التي لا تتحقق من رمز المصادقة، مثل تلك الموجودة في التطبيقات المخصصة لواجهة برمجة التطبيقات (API) فقط. تتأثر التطبيقات عندما تستخدم مخزن جلسة آخر غير CookieStore ولا تمرر خيار same site: إلى config.session store.Recommendations
التحديث إلى الإصدار 8.1.4.1 أو أحدث.
التحديث إلى الإصدار 8.0.5.2 أو أحدث.
كإجراء مؤقت، قم بتمرير خيار
same site: عند تكوين مخزن الجلسة، على سبيل المثال config.session store :cache store, same site: :lax.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾