CVE-2026-41316

Name of the Vulnerable Software and Affected Versions ERB versões anteriores a 6.0.1.1 ERB versões anteriores a 6.0.4 ERB versões anteriores a 4.0.3.1 ERB versões anteriores a 4.0.4.1 Ruby versões anteriores a 4.0.3

Description Um bypass de guarda de desserialização existe no ERB envolvendo a variável init. Este problema ocorre quando uma aplicação chama a função Marshal.load() em entradas não confiáveis enquanto as bibliotecas erb e activesupport estão carregadas. Atacantes podem evadir a guarda via def module, def method ou def class para realizar um bypass de desserialização.

Recommendations Atualize o ERB para a versão 6.0.1.1, 6.0.4, 4.0.3.1 ou 4.0.4.1. Atualize o Ruby para a versão 4.0.3. Como medida paliativa temporária, evite chamar a função Marshal.load() em dados não confiáveis.