PT-2020-5648 · Ruby On Rails+1 · Action View+1
Jesse Campos
·
Publicado
2020-03-19
·
Atualizado
2024-06-15
·
CVE-2020-5267
CVSS v3.1
4.8
Média
| Vetor | AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do ActionView anteriores à 6.0.2.2 e à 5.2.4.2
Descrição
Existe uma possível vulnerabilidade de script entre sites (XSS) nos auxiliares de escape de literais JavaScript do ActionView. As visualizações que utilizam os métodos
j ou escape javascript podem estar suscetíveis a ataques XSS. O problema está relacionado a medidas de proteção insuficientes para estruturas de páginas da web. A exploração da vulnerabilidade pode permitir que um invasor remoto comprometa a integridade dos dados.Recomendações
Para versões anteriores à 6.0.2.2 e 5.2.4.2, atualize para a versão 6.0.2.2 ou 5.2.4.2 para resolver o problema.
Como solução temporária, considere aplicar o patch provisório fornecido ao módulo JavaScriptHelper.
Restrinja o uso dos métodos
j e escape javascript nas visualizações até que o problema seja resolvido.Para aqueles que não podem atualizar imediatamente, aplique os patches fornecidos para as séries 5.2 e 6.0.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Action View
Suse