CVE-2026-33168

NiskieCVSS 2.3

Opublikowano: 23/03/2026(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Streszczenie

Action View udostępnia konwencje i pomocniki do budowania stron internetowych w frameworku Rails. Przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 użycie pustego ciągu jako nazwy atrybutu HTML w pomocnikach tagów Action View omija escapowanie atrybutów, tworząc nieprawidłowy HTML. Starannie spreparowana wartość atrybutu może zostać zinterpretowana przez przeglądarkę jako osobna nazwa atrybutu, co może prowadzić do XSS.

Ocena ryzyka

Aplikacje pozwalające użytkownikom określać własne atrybuty HTML mogą być narażone na ataki XSS, umożliwiające wykonanie złośliwego skryptu w przeglądarce ofiary.

Rekomendacja

Zaktualizuj Action View do wersji 8.1.2.1, 8.0.4.1 lub 7.2.3.1 (lub nowszej) i ogranicz możliwość definiowania własnych atrybutów HTML przez użytkowników.

Inne podatności w Action View

CVE-2019-5418WysokieAktywnie exploitowane
W Action View w wersjach <5.2.2.1, <5.1.6.2, <5.0.7.2, <4.2.11.1 i v3 istnieje podatność ujawnienia zawartości plików, gdzie specjalnie spreparowane nagłówki Accept mogą spowodować ujawnienie zawartości dowolnych plików w systemie plików.

Oryginalny opis (angielski, źródło NVD)

Action View provides conventions and helpers for building web pages with the Rails framework. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1, when a blank string is used as an HTML attribute name in Action View tag helpers, the attribute escaping is bypassed, producing malformed HTML. A carefully crafted attribute value could then be misinterpreted by the browser as a separate attribute name, possibly leading to XSS. Applications that allow users to specify custom HTML attributes are affected. Versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 contain a patch.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS