Hacktoberfest 2026：メンテナが10月に向けて印を付けた、オープンで初心者向けの issue。 Hacktoberfest の issue を見る

CVE-2026-85396 rubyzip path traversal vulnerability

オープン
  • 何か問題がありますか？
#966 コメント 1 件 リアクション 2 件 担当者 0 名 GitHub で見る

@benbalter がすでに取り組んでいます。

2026年9月30日 から。

  • #965 @benbalter による — オープン

評価

難易度
4/5
見積もり時間
3〜5日
初心者へのやさしさ
45/100
issue の種類
バグ
明瞭さ
おおむね明確
活発さ
活発
技術スタック
jekyll, ruby
領域
security

調査の方向性

Start by tracing the dependency chain through github-pages, jekyll-remote-theme, and rubyzip, focusing on the stated version constraints. Determine whether the dependency requirements can be updated to a rubyzip version containing the fix without abandoning the current Jekyll dependency setup. Done means consumers have a supported path that no longer permits the vulnerable rubyzip range.

索引モデルが issue の本文から書いたものです。

説明

Dependabot is complaining for the consumers of github-pages gem for above-mentioned security issue for one of its transitive dependency rubyzip.

Because github-pages >= 213 depends on jekyll-remote-theme = 0.4.3  and jekyll-remote-theme >= 0.4.2, < 0.5.2 depends on rubyzip >= 1.3.0, < 3.0,  github-pages >= 213 requires rubyzip >= 1.3.0, < 3.0.

But CVE-2026-85396 is fixed only in rubyzip >= 3.4.0.

The consumers of this gem have NO easier option to fix this CVE on their own.
Either we consider this gem as abandoned and directly specify jekyll gems on our own or a security update is provided.

主要言語
Ruby
スター
1.9k
フォーク
362
30日以内にマージされた PR はありません

環境構築

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

github/pages-gem のほかの issue

github/pages-gem の issue をすべて見る

似ている issue

Ruby の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。