What is CVE-2026-54659?
CVE-2026-54659 is a path traversal vulnerability in the Pagy pagination library for Ruby. The `Pagy::I18n.locale=` method in versions 43.0.0 to 43.5.6 fails to sanitize user-supplied `params[:locale]`, allowing attackers to load arbitrary YAML files via absolute paths or `../` sequences. Users must upgrade to a version beyond 43.5.6 or strictly validate the `locale` parameter.
Azərbaycanca: CVE-2026-54659, Ruby Pagy kitabxanasında `Pagy::I18n.locale=` funksiyasında path traversal zəifliyidir. 43.0.0-dən 43.5.6-ya qədər versiyalarda təsdiqlənməmiş `params[:locale]` dəyərləri fayl yoluna müdaxilə edərək ixtiyari YAML fayllarının yüklənməsinə səbəb ola bilər. İstifadəçilər dərhal 43.5.6-dan yuxarı versiyaya yeniləməli və ya `locale` parametrini sərt şəkildə yoxlamalıdır.
Related CVEs
link basis: same weakness class CWE-22
FAQ2
Which function in the Ruby Pagy library is affected by CVE-2026-54659, and what is the potential outcome?
The vulnerability affects the `Pagy::I18n.locale=` method, where unsanitized `params[:locale]` input can lead to path traversal and loading of arbitrary YAML files.
Which version should users upgrade to for protection against CVE-2026-54659?
Users should upgrade to a version beyond 43.5.6 or strictly validate the `locale` parameter.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.