CVE-2026-22860

rack

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2026-22860

Katalog CVE

CVSS 7.5 · High EPSS 0,69%

Kerentanan Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') pada rack. Skor CVSS 3.1 7.5 (High) menurut github.com.

Deskripsi (NVD)

Rack is a modular Ruby web server interface. Prior to versions 2.2.22, 3.1.20, and 3.2.5, `Rack::Directory`’s path check used a string prefix match on the expanded path. A request like `/../root_example/` can escape the configured root if the target path starts with the root string, allowing directory listing outside the intended root. Versions 2.2.22, 3.1.20, and 3.2.5 fix the issue.

Rincian

Terbit di NVD
18 Februari 2026
Terakhir diubah
15 Juli 2026
Status NVD
Modified
CVSS 3.1
7.5 (High), sumber github.com
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
CWE-548: Exposure of Information Through Directory Listing
EPSS (30 hari)
0,69% peluang dieksploitasi; lebih tinggi dari 51,5% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
rack rack Semua versi sebelum 2.2.22
rack rack Versi 3.0.0 hingga sebelum 3.1.20
rack rack Versi 3.2.0 hingga sebelum 3.2.5

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.