CVE-2026-33167

ŚrednieCVSS 6.1

Opublikowano: 23/03/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 12/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

Action Pack, gem Ruby dla frameworka Rails, w wersjach z gałęzi 8.1 przed 8.1.2.1, nie poprawnie escapuje komunikatów wyjątków na stronie debugowania wyjątków. Starannie spreparowany komunikat wyjątku może wstrzyknąć dowolny HTML i JavaScript na stronę, prowadząc do XSS. Dotyczy to aplikacji z włączoną szczegółową stroną wyjątków (config.consider_all_requests_local = true), co jest domyślne w środowisku deweloperskim. Wersja 8.1.2.1 zawiera poprawkę.

Ocena ryzyka

Ryzyko obejmuje ataki XSS w środowisku deweloperskim, co może prowadzić do kradzieży sesji dewelopera, wykonania nieautoryzowanych działań w kontekście aplikacji i potencjalnego naruszenia bezpieczeństwa danych.

Rekomendacja

Zaleca się aktualizację Action Pack do wersji 8.1.2.1 lub nowszej oraz rozważenie wyłączenia szczegółowych stron wyjątków w środowiskach produkcyjnych.

Inne podatności w Action Pack

CVE-2026-66066Krytyczne
Action Pack (Active Storage) w wersjach przed 7.2.3.2, 8.0.5.1 i 8.1.3.1 nie wyłącza niebezpiecznych operacji libvips dla niezaufanych treści, co pozwala na odczyt dowolnych plików dostępnych dla procesu Rails, w tym zmiennych środowiskowych i sekretów aplikacji.

Oryginalny opis (angielski, źródło NVD)

Action Pack is a Rubygem for building web applications on the Rails framework. In versions on the 8.1 branch prior to 8.1.2.1, the debug exceptions page does not properly escape exception messages. A carefully crafted exception message could inject arbitrary HTML and JavaScript into the page, leading to XSS. This affects applications with detailed exception pages enabled (`config.consider_all_requests_local = true`), which is the default in development. Version 8.1.2.1 contains a patch.