Rafaelfranca

**Nome do software vulnerável e versões afetadas: Versões do Bundler 1.16.0 a 2.2.9 Versões do Bundler 2.2.11 a 2.2.16 Descrição: O problema às vezes seleciona uma fonte de dependência com base no número de versão mais alto da gem. Isso significa que uma gem maliciosa encontrada em uma fonte pública pode ser selecionada, mesmo que a escolha pretendida fosse uma gem privada que é uma dependência de outra gem privada explicitamente dependida pelo aplicativo. Recomendações: Para as versões do Bundler 1.16.0 a 2.2.9, considere atualizar para uma versão fora desse intervalo para mitigar o risco. Para as versões do Bundler 2.2.11 a 2.2.16, considere atualizar para uma versão fora desse intervalo para mitigar o risco. Como solução alternativa temporária, considere restringir o uso de fontes públicas de gems para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** rails-html-sanitizer gem versions prior to 1.0.4 **Description** The issue allows non-whitelisted attributes to be present in sanitized output when input with specially-crafted HTML fragments, potentially leading to an XSS attack on target applications. **Recommendations** For versions prior to 1.0.4, upgrade to version 1.0.4 or later to resolve the issue. As a temporary workaround, consider using one of the provided workarounds until an upgrade is possible.

**Name of the Vulnerable Software and Affected Versions** rails-html-sanitizer gem version 1.0.2 Ruby on Rails versions 4.2.x through 5.x **Description** A cross-site scripting (XSS) issue allows remote attackers to inject arbitrary web script or HTML via an HTML entity that is mishandled by the `Rails::Html::FullSanitizer` class. This enables attackers to execute malicious scripts on the client-side. **Recommendations** For rails-html-sanitizer gem version 1.0.2, update to a newer version to mitigate the risk. For Ruby on Rails versions 4.2.x through 5.x, ensure the rails-html-sanitizer gem is updated to a version that fixes the XSS vulnerability. As a temporary workaround, consider restricting the input allowed by the `Rails::Html::FullSanitizer` class to minimize the risk of exploitation.