प्लेटफ़ॉर्म
ruby
घटक
ruby-lsp
में ठीक किया गया
0.26.10
0.10.3
CVE-2026-34060, Ruby LSP में मौजूद एक रिमोट कोड निष्पादन (RCE) भेद्यता है। यह भेद्यता तब उत्पन्न होती है जब rubyLsp.branch VS Code कार्यक्षेत्र सेटिंग को बिना सैनिटाइजेशन के एक उत्पन्न Gemfile में इंटरपोलेट किया जाता है, जिससे दुर्भावनापूर्ण .vscode/settings.json वाली परियोजना खोलने पर मनमाना Ruby कोड निष्पादित हो सकता है। यह भेद्यता 0.26.9 से पहले के Ruby LSP संस्करणों को प्रभावित करती है। इस समस्या को Ruby LSP संस्करण 0.26.9 में ठीक कर दिया गया है।
CVE-2026-34060 एक गंभीर सुरक्षा भेद्यता है जो Shopify.ruby-lsp के संस्करण 0.10.2 से पहले और ruby-lsp के संस्करण 0.26.9 से पहले वाले उपयोगकर्ताओं को प्रभावित करती है। इस भेद्यता का फायदा उठाकर, एक हमलावर दुर्भावनापूर्ण .vscode/settings.json फ़ाइल को प्रोजेक्ट में सम्मिलित कर सकता है। जब कोई उपयोगकर्ता इस प्रोजेक्ट को खोलता है, तो rubyLsp.branch VS Code workspace सेटिंग बिना किसी सुरक्षा जांच के उत्पन्न Gemfile में डाली जाती है। यह Gemfile में मनमाना Ruby कोड निष्पादित करने की अनुमति देता है। इसका मतलब है कि हमलावर उपयोगकर्ता के सिस्टम पर कोड चला सकता है, संभावित रूप से संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है, सिस्टम कॉन्फ़िगरेशन बदल सकता है, या अन्य दुर्भावनापूर्ण गतिविधियां कर सकता है। इस भेद्यता का 'ब्लास्ट रेडियस' व्यापक हो सकता है, क्योंकि यह किसी भी उपयोगकर्ता को प्रभावित कर सकता है जो प्रभावित संस्करणों का उपयोग कर रहा है और दुर्भावनापूर्ण प्रोजेक्ट फ़ाइल खोलता है। संभावित जोखिमों में गोपनीय जानकारी का खुलासा, सिस्टम समझौता और डेटा हानि शामिल हैं। इस भेद्यता का फायदा उठाने के लिए, हमलावर को उपयोगकर्ता को एक विशेष रूप से तैयार प्रोजेक्ट फ़ाइल खोलने के लिए प्रेरित करने की आवश्यकता होगी, जो फ़िशिंग या अन्य सामाजिक इंजीनियरिंग तकनीकों के माध्यम से किया जा सकता है।
वर्तमान में, CVE-2026-34060 के लिए कोई सार्वजनिक शोषण रिपोर्ट उपलब्ध नहीं है (KEV)। इसका मतलब है कि इस भेद्यता का सार्वजनिक रूप से फायदा उठाने का कोई ज्ञात तरीका नहीं है। हालांकि, इसका मतलब यह नहीं है कि यह भेद्यता जोखिम-मुक्त है। एक हमलावर इस भेद्यता का फायदा उठाने के लिए एक शोषण विकसित कर सकता है, खासकर यदि वे स्रोत कोड या अन्य जानकारी प्राप्त करने में सक्षम हैं। इस भेद्यता की गंभीरता को देखते हुए, इसे गंभीरता से लेना और जल्द से जल्द पैच लागू करना महत्वपूर्ण है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (POC) अभी तक मौजूद नहीं हैं, लेकिन भेद्यता की प्रकृति को देखते हुए, यह संभव है कि भविष्य में ऐसा कुछ विकसित हो जाए।
एक्सप्लॉइट स्थिति
EPSS
0.08% (23% शतमक)
CVE-2026-34060 को ठीक करने के लिए, Shopify.ruby-lsp को संस्करण 0.10.2 या उच्चतर में और ruby-lsp को संस्करण 0.26.9 या उच्चतर में अपग्रेड करना आवश्यक है। अपग्रेड करने के लिए, अपने पैकेज मैनेजर (जैसे gem) का उपयोग करके नवीनतम संस्करण स्थापित करें। यदि तत्काल अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, .vscode/settings.json फ़ाइल में rubyLsp.branch सेटिंग को हटाने या बदलने पर विचार करें। हालांकि, यह केवल एक अस्थायी उपाय है और सुरक्षा जोखिम को पूरी तरह से समाप्त नहीं करता है। अपग्रेड के बाद, यह सत्यापित करना महत्वपूर्ण है कि भेद्यता ठीक हो गई है। आप यह जांच कर सकते हैं कि आपके पास नवीनतम संस्करण स्थापित है या नहीं और यह सुनिश्चित करके कि कोई दुर्भावनापूर्ण कोड निष्पादित नहीं हो रहा है। अपग्रेड प्रक्रिया को सावधानीपूर्वक करें और सुनिश्चित करें कि आपके सिस्टम का बैकअप है ताकि किसी भी अप्रत्याशित समस्या की स्थिति में आप वापस लौट सकें। अपग्रेड के बाद, सिस्टम को पुनरारंभ करने की आवश्यकता हो सकती है ताकि परिवर्तन प्रभावी हो सकें।
Actualice la gema ruby-lsp a la versión 0.26.9 o superior. Esto corrige la vulnerabilidad de ejecución de código arbitrario. Ejecute `gem update ruby-lsp` para actualizar.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-34060 ruby-lsp में एक सुरक्षा भेद्यता है जो हमलावरों को मनमाना Ruby कोड निष्पादित करने की अनुमति देती है जब एक दुर्भावनापूर्ण VS Code workspace सेटिंग फ़ाइल खोली जाती है।
यदि आप Shopify.ruby-lsp के संस्करण 0.10.2 से पहले या ruby-lsp के संस्करण 0.26.9 से पहले का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।
Shopify.ruby-lsp को संस्करण 0.10.2 या उच्चतर में और ruby-lsp को संस्करण 0.26.9 या उच्चतर में अपग्रेड करके आप इसे ठीक कर सकते हैं।
वर्तमान में, CVE-2026-34060 के लिए कोई सार्वजनिक शोषण रिपोर्ट उपलब्ध नहीं है।
आप राष्ट्रीय भेद्यता डेटाबेस (NVD) पर अधिक जानकारी प्राप्त कर सकते हैं: [https://nvd.nist.gov/vuln/detail/CVE-2026-34060](https://nvd.nist.gov/vuln/detail/CVE-2026-34060)
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी Gemfile.lock फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।