CVE-2024-29034
ŚrednieCVSS 6.8Streszczenie
CarrierWave nie w pełni naprawił lukę CVE-2023-49090. Przy przesyłaniu do magazynu obiektowego (np. Amazon S3) można ustawić wartość Content-Type, która zostanie zinterpretowana przez przeglądarki inaczej niż pozwala na to content_type_allowlist, poprzez podanie wielu wartości oddzielonych przecinkami.
Ocena ryzyka
Obejście listy dozwolonych typów zawartości może umożliwić atak XSS w aplikacjach korzystających z CarrierWave.
Rekomendacja
Zaktualizuj CarrierWave do wersji 3.0.7 lub 2.2.6.
Inne podatności w CarrierWave
Zobacz wszystkie- CVE-2023-49090Średnie
CarrierWave to rozwiązanie do przesyłania plików dla Rails, Sinatra i innych frameworków Ruby. CarrierWave ma podatność polegającą na obejściu listy dozwolonych typów zawartości (Content-Type allowlist), co może prowadzić do XSS. Walidacja w allowlisted_content_type? określa uprawnienia Content-Type poprzez częściowe dopasowanie. Jeśli argument content_type zostanie spreparowany przez atakującego, dozwolone zostaną typy spoza listy. Poprawiono w wersjach 2.2.5 i 3.0.5.
- CVE-2026-44587Średnie
W frameworku CarrierWave, w wersjach przed 2.2.7 i 3.1.3, sprawdzenie denylisty content_type_denylist nie poprawnie obsługuje metaznaki regex w wpisach tekstowych, co prowadzi do braku blokowania zamierzonych typów zawartości. W rezultacie aplikacje mogą być narażone na ataki XSS poprzez przesyłanie plików SVG zawierających złośliwy JavaScript.
Oryginalny opis (angielski, źródło NVD)
CarrierWave is a solution for file uploads for Rails, Sinatra and other Ruby web frameworks. The vulnerability CVE-2023-49090 wasn't fully addressed. This vulnerability is caused by the fact that when uploading to object storage, including Amazon S3, it is possible to set a Content-Type value that is interpreted by browsers to be different from what's allowed by `content_type_allowlist`, by providing multiple values separated by commas. This bypassed value can be used to cause XSS. Upgrade to 3.0.7 or 2.2.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS