CVE-2026-23885

Nome do Software Vulnerável e Versões Afetadas Versões do Alchemy anteriores a 7.4.12 Versões do Alchemy anteriores a 8.0.3

Descrição O Alchemy, um sistema de gerenciamento de conteúdo Ruby on Rails, permite que um atacante autenticado execute comandos arbitrários do sistema no sistema operacional host. A aplicação utiliza a função eval() do Ruby para executar dinamicamente uma string proveniente do atributo resource handler.engine name dentro do método Alchemy::ResourcesHelper#resource url proxy, localizado em app/helpers/alchemy/resources helper.rb na linha 28. O uso de eval() contorna a verificação de segurança (linting), e o atributo engine name é influenciado por configurações administrativas, permitindo a execução de código arbitrário.

Recomendações Atualize para a versão 7.4.12 ou posterior do Alchemy. Atualize para a versão 8.0.3 ou posterior do Alchemy.