Stevegeek

**Nome do software vulnerável e versões afetadas** Versões do Avo anteriores à 2.47.0 Versões do Avo anteriores à 3.3.0 **Descrição** O Avo é uma estrutura para criar painéis de administração para aplicativos Ruby on Rails. No Avo, qualquer código HTML dentro de texto que seja passado para `error` ou `succeed` em uma subclasse de `Avo::BaseAction` será renderizado diretamente, sem sanitização, na notificação que aparece na interface do usuário após a conclusão da ação. Um usuário mal-intencionado poderia explorar isso para desencadear um ataque de script entre sites contra um usuário desavisado. **Recomendações** Para versões anteriores à 2.47.0, atualize para a versão 2.47.0 ou posterior. Para versões anteriores à 3.3.0, atualize para a versão 3.3.0 ou posterior. Como solução temporária, considere desativar os métodos `error` e `succeed` nas subclasses de `Avo::BaseAction` até que um patch esteja disponível. Restrinja o acesso à subclasse `Avo::BaseAction` para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** encoded id-rails versions before 1.0.0.beta2 **Description** The issue is an uncontrolled resource consumption vulnerability. A remote and unauthenticated attacker might cause a denial of service condition by sending an HTTP request with an extremely long `id` parameter. This can lead to high CPU consumption and allocation of a large number of intermediate objects, causing the application to spend a significant amount of time decoding the ID. **Recommendations** Upgrade to version 1.0.0.beta2, which introduces a new option to limit the length of IDs that can be decoded, mitigating the vulnerability. As a temporary workaround, consider restricting access to the `id` parameter in the affected API endpoint until the issue is resolved.