PT-2026-144731
CVE-2026-126076
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
4.2
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Action Pack الإصدارات السابقة لـ 8.1.4.1
Action Pack الإصدارات السابقة لـ 8.0.5.2
Description
Action Pack هو إطار عمل لمعالجة طلبات الويب والاستجابة لها. يوجد خلل في
ActionDispatch::Session::CacheStore حيث يتم كتابة الجلسة مرة أخرى في ذاكرة التخزين المؤقت (cache) في نهاية كل طلب قام بتحميلها، دون التحقق مما إذا كانت إدخالات الجلسة في ذاكرة التخزين المؤقت لا تزال موجودة. إذا قام طلب متزامن بتدمير الجلسة—على سبيل المثال أثناء تسجيل الخروج عبر reset session() أو عن طريق حذف إدخال ذاكرة التخزين المؤقت على الخادم—فإن الطلب الذي قام بتحميل الجلسة مسبقاً وانتهى لاحقاً قد يعيد استعادتها باستخدام معرف الجلسة الأصلي. قد يؤدي ذلك إلى فشل عملية تسجيل الخروج وإلغاء الصلاحية من جانب الخادم، مما يسمح للمهاجم الذي يمتلك ملف تعريف ارتباط (cookie) مسروق بالحفاظ على صلاحية الجلسة. يؤثر هذا الخلل على التطبيقات التي تستخدم config.session store :cache store مع أي نظام تخزين مؤقت خلفي. لا يتأثر ActionDispatch::Session::CookieStore ولا ActionDispatch::Session::MemCacheStore الذي يستخدم Dalli 4.0.0 أو إصدارات أحدث.Recommendations
تحديث Action Pack إلى الإصدار 8.1.4.1 أو أحدث.
تحديث Action Pack إلى الإصدار 8.0.5.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾