CVE-2026-82455
Niskie ryzyko· EPSS 4%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Rekord CVE został odrzucony — opiekunowie RubyGems uznali, że zgłoszone zachowanie polegające na podążaniu za dowiązaniami symbolicznymi podczas rozpakowywania gemów nie jest podatnością bezpieczeństwa, więc nie istnieje podatność do opisania w tym rekordzie.
Ocena ryzyka
Brak zidentyfikowanego ryzyka bezpieczeństwa — rekord został odrzucony i nie opisuje rzeczywistej podatności. Nie ma potrzeby podejmowania działań w związku z tym CVE.
Rekomendacja
Nie podejmuj żadnych działań na podstawie tego rekordu; w razie potrzeby zweryfikuj inne źródła informacji o bezpieczeństwie RubyGems. Rekord nie wymaga łagodzenia.
Inne podatności w RubyGems
Zobacz wszystkie- CVE-2017-0902Wysokie
RubyGems w wersji 2.6.12 i wcześniejszych jest podatny na atak typu DNS hijacking, który pozwala atakującemu przejąć kontrolę nad połączeniem i wymusić na kliencie RubyGems pobranie oraz zainstalowanie gemów z serwera, który kontroluje.
- CVE-2017-0901Wysokie
Wersje RubyGems 2.6.12 i wcześniejsze nie weryfikują nazw specyfikacji, co pozwala na stworzenie złośliwego gema, który może nadpisać dowolny plik w systemie plików.
- CVE-2017-0900Wysokie
Wersje RubyGems 2.6.12 i wcześniejsze są podatne na złośliwie skonstruowane specyfikacje gemów, które mogą prowadzić do ataku typu denial of service na klientów RubyGems, którzy wydali polecenie `query`.
- CVE-2017-0903Krytyczne
Wersje RubyGems od 2.0.0 do 2.6.13 są podatne na potencjalną możliwość zdalnego wykonania kodu. Deserializacja YAML specyfikacji gemów może obejść białe listy klas.
- CVE-2017-0899Krytyczne
RubyGems w wersji 2.6.12 i wcześniejszych jest podatny na złośliwie skonstruowane specyfikacje gemów, które zawierają znaki ucieczki terminala. Wydrukowanie specyfikacji gema może spowodować wykonanie sekwencji ucieczki terminala.
Oryginalny opis (angielski, źródło NVD)
Rejected reason: The RubyGems maintainers determined that the reported symlink-following behavior during gem extraction is not a security vulnerability, so no vulnerability exists for this record to describe.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS