CVE-2026-125109 Devolución de Host inválido en Rack::Request#host_with_port, #base_url y #url
Desde 3.0 hasta 3.1.23 y 3.2.8, Rack::Request#host_with_port, #base_url y #url pueden devolver tal cual una autoridad inválida controlada por el atacante proveniente de Host, X-Forwarded-Host o Forwarded: host=. Las aplicaciones sin lista de hosts permitidos propia que usan estos métodos para URLs absolutas, redirecciones o verificaciones de origen pueden emitir delimitadores elegidos por el atacante, habilitando manipulación de redirecciones, evasión de listas basadas en cadenas o reflejo de marcado sin escapar…
CVSS 3.1
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
rack
>= 3.0, < 3.1.23>= 3.2, < 3.2.8
Qué hacer
- Verificá si usás rack y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.8 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
Rack is a modular Ruby web server interface. From 3.0 until 3.1.23 and 3.2.8, Rack::Request#host_with_port, #base_url, and #url can return an attacker-controlled invalid authority from Host, X-Forwarded-Host, or Forwarded: host= verbatim. Applications without an independent host allowlist that use these methods for absolute URLs, redirects, or origin-dependent checks can emit attacker-chosen delimiters, enabling redirect manipulation, string-based allowlist bypass, or unescaped markup reflection. Rails overrides these methods and is not expected to be affected. This issue is fixed in versions 3.1.23 and 3.2.8.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.