Ruby on Rails

Active Storage erlaubt das Anhängen von Cloud- und lokalen Dateien in Rails-Anwendungen. In Versionen vor 8.1.2.1, 8.0.4.1 und 7.2.3.1 validiert die Methode DiskService#path_for die übergebene Referenz nicht ausreichend, wodurch ein Path Traversal möglich ist. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Version 8.1.2.1, 8.0.4.1 oder 7.2.3.1 oder neuer aktualisieren.

Avo ist ein Framework zum Erstellen von Admin-Oberflächen für Ruby-on-Rails-Anwendungen. In Versionen vor 3.32.1 und vor 4.0.0.beta.51 prüft der Association-Attach-Workflow die Berechtigung attach_<association>? nur in der Oberfläche, während der zugehörige GET-Aufruf auf /resources/:resource diese Prüfung umgehen lässt. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: auf Avo 3.32.1 beziehungsweise 4.0.0.beta.51 oder neuer aktualisieren.

Active Storage in Ruby on Rails versucht standardmässig, die Verwendung potenziell unsicherer Bildtransformationsmethoden und -parameter zu verhindern. Laut der Rails Foundation ist diese Schutzmassnahme unter bestimmten Bedingungen unzureichend. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 5.5 %.

view_component ist ein Framework für wiederverwendbare, testbare und gekapselte View-Komponenten in Ruby on Rails. Von Version 4.0.0 bis vor 4.12.0 kann ViewComponent::Base#around_render HTML-unsichere Zeichenketten zurückgeben, was zu unerwünschter Ausgabe von nicht escaptem HTML führen kann. CVSS-Basiswert: 8.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das Paket geokit-rails ist in Versionen vor 2.5.0 anfällig für Command Injection aufgrund unsicherer YAML-Deserialisierung im Cookie geo_location. Die Schwachstelle lässt sich aus der Ferne über einen bösartigen Cookie-Wert ausnutzen; ein Angreifer kann darüber Befehle auf dem Hostsystem ausführen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.5.0 oder neuer.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2013-0156) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 99.4 %.

In Active Storage von Ruby on Rails besteht bei der Verarbeitung von Datei-Varianten (Variant Processing) möglicherweise eine Schwachstelle, die das Auslesen beliebiger Dateien sowie die Ausführung von entferntem Code erlaubt. Laut NVD deaktiviert Active Storage in Versionen vor 7.2.3.2, 8.0.5.1 und 8.1.3.1 keine als unsicher markierten libvips-Operationen bei nicht vertrauenswürdigen Eingaben. Die Rails Foundation hat inzwischen eine Folgemitteilung mit Angriffsdetails und Werkzeugen für eine forensische Untersuchung veröffentlicht. Auch Fastly führt die Schwachstelle in seiner Sicherheitsadvisory-Übersicht. Ausnutzungswahrscheinlichkeit (EPSS): 2.1 %. Ein CVSS-Basiswert liegt für diese CVE derzeit nicht vor.

In Action Dispatch von Ruby on Rails besteht eine mögliche ReDoS-Schwachstelle (Regular Expression Denial of Service) bei der Verarbeitung des Accept-Headers. Betroffen sind Ruby on Rails sowie Ruby selbst. Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %.

In der Active-Storage-Komponente von Ruby on Rails besteht laut Advisory die Möglichkeit eines Lecks sensibler Session-Informationen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, die Einstufung erfolgt daher als Mittel. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

In der Query-Parameter-Filterung von Action Dispatch in Ruby on Rails besteht eine mögliche ReDoS-Schwachstelle (Regular Expression Denial of Service). Speziell gestaltete Parameterwerte können durch übermässigen Backtracking-Aufwand die Verarbeitung verlangsamen. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

In der HTTP-Token-Authentifizierung von Action Controller in Ruby on Rails besteht eine mögliche ReDoS-Schwachstelle (Regular Expression Denial of Service). Ein speziell gestalteter Token-Wert kann durch übermässigen Backtracking-Aufwand die Verarbeitung verlangsamen. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

In der Action-Controller-Komponente von Ruby on Rails besteht laut Rails Foundation möglicherweise eine Cross-Site-Scripting-Schwachstelle (XSS). CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

In Action Dispatch, einer Komponente von Ruby on Rails, kann laut Rails Foundation die Content Security Policy (CSP) unter bestimmten Bedingungen umgangen werden. Ein CVSS-Basiswert ist in den Quelldaten nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der Action-Text-Komponente von Ruby on Rails besteht in der Funktion plain_text_for_blockquote_node eine mögliche ReDoS-Schwachstelle (Regular Expression Denial of Service). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Laut Rails Foundation besteht in den Number-Helpers von Active Support eine mögliche Denial-of-Service-Schwachstelle. Weitere technische Details zur genauen Ausnutzung liegen in der Quelle nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der Action-Mailer-Komponente von Ruby on Rails besteht laut Rails Foundation im block_format eine mögliche ReDoS-Schwachstelle (Regular Expression Denial of Service). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In den Tag-Helpern der Action-View-Komponente von Ruby on Rails besteht laut einem Advisory der Rails Foundation eine mögliche Cross-Site-Scripting-Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Der in Ruby on Rails integrierte Trix-Editor weist XSS-Schwachstellen (Cross-Site Scripting) auf. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Rails Foundation hat unter der Kennung CVE-2026-33202 eine mögliche Glob-Injection-Schwachstelle in der DiskService-Komponente von Active Storage (Ruby on Rails) gemeldet. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. CVSS-Basiswert ist nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default.

Ruby on Rails weist im Proxy-Modus von Active Storage eine mögliche Denial-of-Service-Schwachstelle über Range Requests auf. Ein Angreifer kann durch speziell präparierte Range-Anfragen die Verarbeitung im Proxy-Modus so belasten, dass die Verfügbarkeit beeinträchtigt wird. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Laut Advisory der Rails Foundation liefert Ruby on Rails den Permissions-Policy-HTTP-Header nur bei Antworten mit Content-Type text/html aus, wodurch die Policy bei anderen Content-Types nicht greift (CVE-2024-28103). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Die Rails Foundation nennt diese CVE-ID in ihrer Ankündigung zu rails-html-sanitizer Version 1.6.1 als eine von mehreren mit diesem Update behobenen Schwachstellen. Weitere technische Details zur konkreten Schwachstelle liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf rails-html-sanitizer Version 1.6.1 oder neuer aktualisieren. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

In Active Record von Ruby on Rails ermöglicht eine unzureichende Bereinigung von Log-Ausgaben eine ANSI-Escape-Injection über das Logging. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Laut Rails Foundation besteht in der Methode number_to_delimited von Active Support eine mögliche ReDoS-Schwachstelle (Regular Expression Denial of Service). Weitere technische Details zur genauen Ausnutzung liegen in der Quelle nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Laut Rails Foundation besteht im Proxy-Modus von Active Storage eine mögliche Denial-of-Service-Schwachstelle bei der Verarbeitung von Multi-Range-Requests. Weitere technische Details zur genauen Ausnutzung liegen in der Quelle nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

CVE-2024-53986 ist laut Rails Foundation eine der Schwachstellen, die mit dem Release rails-html-sanitizer v1.6.1 behoben wurden. Nähere technische Details zur konkreten Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf rails-html-sanitizer v1.6.1 oder neuer aktualisieren. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Die Rails Foundation nennt diese CVE-ID in ihrer Ankündigung zu rails-html-sanitizer Version 1.6.1 als eine von mehreren mit diesem Update behobenen Schwachstellen. Weitere technische Details zur konkreten Schwachstelle liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf rails-html-sanitizer Version 1.6.1 oder neuer aktualisieren. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Der Rails Foundation zufolge behebt rails-html-sanitizer v1.6.1 mehrere CVEs, darunter CVE-2024-53988. Weitere technische Details zur konkreten Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Der Rails Foundation zufolge behebt rails-html-sanitizer v1.6.1 mehrere CVEs, darunter CVE-2024-53987. Weitere technische Details zur konkreten Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der ActionText-Komponente von Ruby on Rails können ContentAttachments laut Advisory ungefilterten (nicht sanitisierten) HTML-Code enthalten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, die Einstufung erfolgt daher als Mittel. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im Active-Support-Modul von Ruby on Rails besteht laut Rails Foundation eine mögliche Cross-Site-Scripting-Schwachstelle in SafeBuffer#%. Weitere technische Details enthalten die Quelldaten nicht. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Rails Foundation hat unter der Kennung CVE-2026-33173 eine unzureichende Filterung von Metadaten bei Direct Uploads der Active-Storage-Komponente von Ruby on Rails gemeldet. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. CVSS-Basiswert ist nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default.

In der Debug-Exceptions-Funktion von Action Pack (Ruby on Rails) besteht laut Rails Foundation möglicherweise eine Cross-Site-Scripting-Schwachstelle (XSS). Ein CVSS-Basiswert liegt in den Quelldaten derzeit nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

ViewComponent ist ein Framework für wiederverwendbare, testbare und gekapselte View-Komponenten in Ruby on Rails. In den Versionen ab 4.0.0 bis vor 4.12.0 behalten Instanzen von ViewComponent::Base render-bezogene Objekte über Aufrufe hinweg bei, was zu unbeabsichtigtem Zustandsübertrag zwischen Renderings führen kann. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Die Rails Foundation weist im zugehörigen Diskussionsbeitrag darauf hin, dass es sich bei CVE-2026-33178 um eine zuvor bereits veröffentlichte Schwachstelle handelt, die irrtümlich erneut publiziert wurde, und bittet, den Eintrag zu ignorieren. Ein eigenständiger technischer Sachverhalt oder CVSS-Basiswert liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.