Aktywnie wykorzystywana w atakach

Rails Ruby on Rails Path Traversal Vulnerability

Rails - Ruby on Rails · Figuruje w katalogu CISA KEV od 2025-07-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2019-5418

WysokieCVSS 7.5KEV

Opublikowano: 27/03/2019(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

W Action View w wersjach <5.2.2.1, <5.1.6.2, <5.0.7.2, <4.2.11.1 i v3 istnieje podatność ujawnienia zawartości plików, gdzie specjalnie spreparowane nagłówki Accept mogą spowodować ujawnienie zawartości dowolnych plików w systemie plików.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do odczytania zawartości wrażliwych plików na serwerze, co może prowadzić do wycieku danych.

Rekomendacja

Zaktualizuj Action View do wersji 5.2.2.1, 5.1.6.2, 5.0.7.2, 4.2.11.1 lub nowszej, która zawiera poprawkę.

Inne podatności w Action View

CVE-2026-33168Niskie
Action View udostępnia konwencje i pomocniki do budowania stron internetowych w frameworku Rails. Przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 użycie pustego ciągu jako nazwy atrybutu HTML w pomocnikach tagów Action View omija escapowanie atrybutów, tworząc nieprawidłowy HTML. Starannie spreparowana wartość atrybutu może zostać zinterpretowana przez przeglądarkę jako osobna nazwa atrybutu, co może prowadzić do XSS.

Oryginalny opis (angielski, źródło NVD)

There is a File Content Disclosure vulnerability in Action View <5.2.2.1, <5.1.6.2, <5.0.7.2, <4.2.11.1 and v3 where specially crafted accept headers can cause contents of arbitrary files on the target system's filesystem to be exposed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS