NVD / CVE Program· CNA GitHub_M

CVE-2026-34763: Rack: Rack::Directory info disclosure and DoS via unescaped regex interpolation

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 21/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,25% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Исправленная версия: ruby-rack (Debian:12) 2.2.22-0+deb12u2; ruby-rack (Debian:13) 3.1.20-0+deb13u2; ruby-rack (Debian:14) 3.2.6-2.

Пока низкий приоритет. Обновитесь до ruby-rack (Debian:12) 2.2.22-0+deb12u2; ruby-rack (Debian:13) 3.1.20-0+deb13u2; ruby-rack (Debian:14) 3.2.6-2 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Rack is a modular Ruby web server interface. Prior to versions 2.2.23, 3.1.21, and 3.2.6, Rack::Directory interpolates the configured root path directly into a regular expression when deriving the displayed directory path. If root contains regex metacharacters such as +, *, or ., the prefix stripping can fail and the generated directory listing may expose the full filesystem path in the HTML output. This issue has been patched in versions 2.2.23, 3.1.21, and 3.2.6.

СредняяCVSS 5.3 · v3.1—Эксплойта нет Есть исправление

Без аутентификации

Опубликовано: 2 апр. 2026 г.
Обновлено: 24 июл. 2026 г.
EPSS: 0,2 % · 16-й процентиль
CWE: CWE-625

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 21 / 40 · 5.3 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,2 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: да
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · GitHub_M: 5,3; NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
rack	rack	cpe:2.3:a:rack:rack

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

rack rackдо 2.2.23
rack rack3.0.0 и новее · до 3.1.21
rack rack3.2.0 и новее · до 3.2.6

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

rack rack
- < 2.2.23, >= 3.0.0.beta1, < 3.1.21, >= 3.2.0, < 3.2.6затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:12	ruby-rack	до 2.2.22-0+deb12u2	2.2.22-0+deb12u2
Debian:13	ruby-rack	до 3.1.20-0+deb13u2	3.1.20-0+deb13u2
Debian:14	ruby-rack	до 3.2.6-2	3.2.6-2
openSUSE:Leap 16.0	rmt-server	до 3.1.0-160000.1.1	3.1.0-160000.1.1
openSUSE:Tumbleweed	rubygem-rack-2.2	до 2.2.23-1.1	2.2.23-1.1
RubyGems	rack	с 3.0.0.beta1 · до 3.1.21	3.1.21
RubyGems	rack	с 3.2.0 · до 3.2.6	3.2.6
RubyGems	rack	до 2.2.23	2.2.23
SUSE:Linux Enterprise Module for Public Cloud 15 SP5	rmt-server	до 2.27-150500.3.47.1	2.27-150500.3.47.1
SUSE:Linux Enterprise Server 16.0	rmt-server	до 3.1.0-160000.1.1	3.1.0-160000.1.1

Тот же продукт

rack: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2024-25126Rack ReDos in content type parsing (2nd degree polynomial)
41В плане
CVE-2024-26146Possible Denial of Service Vulnerability in Rack Header Parsing
31Наблюдать
CVE-2023-27530A DoS vulnerability exists in Rack <v3.0.4.2, <v2.2.6.3, <v2.1.4.3 and <v2.0.9.3 within in the Multipart MIME parsing code in which could al
31Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2026-269612 апр. 2026 г. · Rack: Multipart Boundary Parsing Ambiguity allowing WAF Bypass
21Наблюдать
← РаньшеCVE-2026-342302 апр. 2026 г. · Rack: Quadratic complexity in Rack::Utils.select_best_encoding via wildcard Accept-Encoding header
30Наблюдать
Позже →CVE-2026-347852 апр. 2026 г. · Rack: Local file inclusion in `Rack::Static` via URL Prefix Matching
30Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
debian:ruby-rack	2.2.22-0+deb12u2 · Debian:12	Реестр пакетов (OSV)
opensuse:rmt-server	3.1.0-160000.1.1 · openSUSE:Leap 16.0	Реестр пакетов (OSV)
opensuse:rubygem-rack-2.2	2.2.23-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
RubyGems:rack	2.2.23	Реестр пакетов (OSV)
RubyGems:rack	3.1.21	Реестр пакетов (OSV)
RubyGems:rack	3.2.6	Реестр пакетов (OSV)
suse:rmt-server	3.1.0-160000.1.1 · SUSE:Linux Enterprise Server 16.0	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

Истории пока нет (накапливается ежедневным заданием EPSS).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-34830с разницей 0 дн.Rack: Rack::Sendfile regex injection via HTTP_X_ACCEL_MAPPING header allows arbitrary file reads through nginx
30Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: низкое · данные могут быть прочитаны
Целостность: нет
Доступность: нет

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Низкое
Влияние на целостность: Нет
Влияние на доступность: Нет

Класс уязвимости (CWE)

CWE-625 · Permissive Regular Expression

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

nvd-secondary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:45 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

github.com/rack/rack/security/advisories/GHSA-7mqq-6cf9-v2qp

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: GitHub_M

CVE.org (CNA)2 апр. 2026 г., 17:41 UTC
CISA ADP2 апр. 2026 г., 17:41 UTC
NVD24 июл. 2026 г., 17:10 UTC
FIRST EPSS30 окт. 2026 г., 00:00 UTC
OSV / GHSA31 окт. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.