CVE-2026-126067

Nome do Software Vulnerável e Versões Afetadas Action Pack versões anteriores a 8.1.4.1 Action Pack versões anteriores a 8.0.5.2

Description Armazenamentos de sessão diferentes de ActionDispatch::Session::CookieStore (incluindo CacheStore, MemCacheStore e armazenamentos de terceiros baseados em AbstractStore, AbstractSecureStore ou mixins de sessão) gravam cookies de sessão sem o atributo SameSite. Isso ocorre independentemente da configuração config.action dispatch.cookies same site protection. Em navegadores que não tratam a ausência do atributo como SameSite=Lax, solicitações cross-site podem transportar o cookie de sessão. Isso pode levar a falsificação de solicitação cross-site (CSRF) contra ações que não verificam um token de autenticidade, como as de aplicações apenas de API. O problema afeta aplicações que utilizam um armazenamento de sessão diferente de CookieStore e não passam a opção same site: para config.session store.

Recommendations Atualize para a versão 8.1.4.1 ou superior. Atualize para a versão 8.0.5.2 ou superior. Como solução temporária, passe a opção same site: ao configurar o armazenamento de sessão, por exemplo, config.session store :cache store, same site: :lax.