Rack allows Percent-encoded cookies to overwrite existing prefixed cookie names

高 7.5CVE-2020-8184 · GHSA-j6w9-fv6q-3q52 · 19/06/2020 公開 · 17/06/2026 更新

要点

CVE-2020-8184 は rack, rack (rack project) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.9%（全脆弱性の 87.1% より高い）。
対処：2.2.3, 2.1.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
rack RubyGems	`≥ 2.2.0, < 2.2.3< 2.1.4`	`2.2.32.1.4`
rack rack_project	`≥ 2.2.0, < 2.2.3< 2.1.4`	`2.2.32.1.4`

概要

A reliance on cookies without validation/integrity check security vulnerability exists in rack < 2.2.3, rack < 2.1.4 that makes it possible for an attacker to forge a secure or host-only cookie prefix.

NVD の説明

A reliance on cookies without validation/integrity check security vulnerability exists in rack < 2.2.3, rack < 2.1.4 that makes it is possible for an attacker to forge a secure or host-only cookie prefix.