CVE-2026-54659

Pagy I18n locale option is not validated before being used in a file path

CVSS 3.1Medium

6.9/ 10.0

Опубликовано

28 июля 2026 г.

Обновлено

29 июля 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 43.5.6

Обновить gem Pagy до версии 43.5.6 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход каталога (Path Traversal) и оракул файловой системы в gem Pagy через параметр локали.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях от 43.0.0 до 43.5.6 метод Pagy::I18n.locale= в gem/lib/pagy/modules/i18n/i18n.rb сохраняет переданное значение локали без валидации и использует его при сборке пути к файлу <locale>.yml, что допускает внедрение абсолютных путей и последовательностей ../.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Создание оракула доступности файлов: определение наличия и возможности чтения произвольных YAML-файлов на сервере.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

ddnexuspagy

>= 43.0.0➔Fix: 43.5.6

——

>= 43.0.0➔Fix: 43.5.6

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

github.comhttps://github.com/ddnexus/pagy/security/advisories/GHSA-2xmw-f8j8-wfxc
github.comhttps://github.com/ddnexus/pagy/pull/908
github.comhttps://github.com/ddnexus/pagy/commit/efcf09690e9fa7d7abdfb987b785a55f87e287df
github.comhttps://github.com/ddnexus/pagy/releases/tag/43.5.6

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-54659: Pagy I18n locale option is not validated before being used in a file path. URL: https://cve.futuretools.ru/cve/CVE-2026-54659

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_54659,
  title = {{CVE-2026-54659: Pagy I18n locale option is not validated before being used in a file path}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-54659}},
  note = {Оперативный инженерный анализ киберугроз}
}