PT-2021-24124 · Unknown+2 · Action Pack+2

Publicado 2021-12-14 · Atualizado 2025-09-29 · CVE-2021-44528

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões 6.0.0 e posteriores do Action Pack

Descrição:

Existe uma vulnerabilidade que poderia permitir que um invasor criasse cabeçalhos X-Forwarded-Host em combinação com determinados formatos de allowed host, fazendo com que o middleware de autorização de host redirecione os usuários para um site malicioso.

Recomendações:

Para as versões 6.0.0 e posteriores do Action Pack, atualize para uma versão que inclua uma correção para este problema, uma vez que não é fornecida nenhuma solução alternativa específica nas informações disponibilizadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

ALSA-2025_16880

ALT-PU-2022-2630

ALT-PU-2023-4268

ALT-PU-2024-7814

BIT-RAILS-2021-44528

CVE-2021-44528

DSA-5372-1

GHSA-QPHC-HF5Q-V8FC

OPENSUSE-SU-2024:11821-1

Produtos afetados

Alt Linux

Action Pack

Red Os

Referências · 36

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/actionpack/CVE-2021-44528.yml · Exploit
• https://github.com/rails/rails · Nota
• https://github.com/rails/rails/commit/0fccfb9a3097a9c4260c791f1a40b128517e7815 · Correção
• https://github.com/rails/rails/commit/fd6a64fef1d0f7f40a8d4b046da882e83163299c · Nota
• https://github.com/rails/rails/commit/aecba3c301b80e9d5a63c30ea1b287bceaf2c107 · Nota
• https://github.com/rails/rails/blob/v6.1.4.2/actionpack/CHANGELOG.md#rails-6142-december-14-2021 · Nota
• https://security.netapp.com/advisory/ntap-20240208-0003 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-44528 · Aviso do Fabricante
• https://groups.google.com/g/ruby-security-ann/c/vG9gz3nk1pM/m/7-NU4MNrDAAJ · Nota
• https://suse.com/security/cve/CVE-2020-8166 · Nota
• https://osv.dev/vulnerability/CVE-2021-44528 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-44528 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-rails-2021-44528 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-44528 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2021-44528 · Aviso do Fabricante