PT-2026-39302 · Debian+3 · Ruby-View-Component+1
Cyberlanc3R
·
Publicado
2026-05-08
·
Atualizado
2026-05-26
·
CVE-2026-44836
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
view component versões 3.0.0 até 4.8.x
Descrição
A rota de visualização (preview) deriva o nome de um exemplo da URL e o invoca usando
public send sem verificar se o método solicitado é um exemplo de visualização explicitamente definido. Isso permite que métodos públicos herdados em ViewComponent::Preview sejam acessíveis via rotas. Especificamente, a função render with template() pode ser acessada, a qual aceita os parâmetros template: e locals:. Esses valores podem ser fornecidos via parâmetros de requisição e passados ao Rails como render template:. Se as visualizações estiverem expostas, um invasor pode renderizar templates internos do Rails que não seriam acessíveis de outra forma, expondo potencialmente segredos, configurações, dados de depuração ou parciais exclusivos de administradores.Recomendações
Atualize o view component para a versão 4.9.0.
Como medida paliativa temporária, restrinja o acesso externo às rotas de visualização para minimizar o risco de exploração.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Ruby-View-Component
View