CVE-2026-85396 rubyzip path traversal vulnerability
评估
调研方向
Start by tracing the dependency chain through github-pages, jekyll-remote-theme, and rubyzip, focusing on the stated version constraints. Determine whether the dependency requirements can be updated to a rubyzip version containing the fix without abandoning the current Jekyll dependency setup. Done means consumers have a supported path that no longer permits the vulnerable rubyzip range.
由索引模型根据 Issue 内容生成。
描述
Dependabot is complaining for the consumers of github-pages gem for above-mentioned security issue for one of its transitive dependency rubyzip.
Because github-pages >= 213 depends on jekyll-remote-theme = 0.4.3 and jekyll-remote-theme >= 0.4.2, < 0.5.2 depends on rubyzip >= 1.3.0, < 3.0, github-pages >= 213 requires rubyzip >= 1.3.0, < 3.0.
But CVE-2026-85396 is fixed only in rubyzip >= 3.4.0.
The consumers of this gem have NO easier option to fix this CVE on their own.
Either we consider this gem as abandoned and directly specify jekyll gems on our own or a security update is provided.
- 主要语言
- Ruby
- 星标
- 1.9k
- 派生
- 362
- PR 合并指标
- 30 天内没有已合并 PR
环境准备
- 提供 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
github/pages-gem 的其他 Issue
-
Outdated dependencies will cause problem with end of Node.js 20 support可能已有人在做 @gruenich 于 20 天前认领。 未关闭
难度 2/5 1-3 小时 新手友好度 68/100
-
难度 4/5 3-5 天 新手友好度 25/100
-
难度 4/5 3-5 天 新手友好度 25/100
-
难度 5/5 一周以上 新手友好度 5/100
-
index.html未关闭
难度 5/5 一周以上 新手友好度 5/100
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 65/100
-
难度 2/5 1-3 小时 新手友好度 85/100
temporalio/sdk-ruby#625 ·
维护者通常 1 天内回复
-
难度 1/5 1-3 小时 新手友好度 94/100
zerocracy/judges-action#2803 ·
维护者通常 5 天内回复
-
empty tone.rb未关闭
难度 1/5 1 小时以内 新手友好度 78/100
-
难度 1/5 1-3 小时 新手友好度 92/100