CVE-2022-45442

Versões do Sinatra 2.0 a 2.2.2

Versões do Sinatra 3.0 a 3.0.3

O problema está relacionado a um ataque de download de arquivo refletido (RFD) que define o cabeçalho Content-Disposition de uma resposta quando o nome do arquivo é derivado de uma entrada fornecida pelo usuário. Isso permite que um invasor execute código arbitrário. A vulnerabilidade está associada ao carregamento de código sem verificação de sua integridade.

Para as versões 2.0 a 2.2.2 do Sinatra, atualize para a versão 2.2.3 para resolver o problema.

Para as versões 3.0 a 3.0.3 do Sinatra, atualize para a versão 3.0.4 para resolver o problema.

Como solução temporária, considere restringir o uso de entradas fornecidas pelo usuário no nome do arquivo para minimizar o risco de exploração.