CVE-2024-21636 in view_component
Riassunto
di VulDB • 14/06/2026
view_component è un framework per la creazione di componenti visuali riutilizzabili, testabili ed incapsulati in Ruby on Rails. Le versioni precedenti alla 3.9.0 presentano una vulnerabilità cross-site scripting (XSS) che potrebbe impattare chiunque renderizzi un componente direttamente da un controller utilizzando il gem view_component. Si noti che sono interessati solo i componenti che definiscono un metodo `#call` (ovvero, invece di utilizzare un template sidecar). Il valore restituito dal metodo `#call` non viene sanificato e può includere contenuti definiti dall'utente. Inoltre, anche il valore restituito dal metodo `#output_postamble` non viene sanificato, il che può portare a problemi cross-site scripting (XSS). La versione 3.9.0 è stata rilasciata ed elimina completamente entrambe le vulnerabilità relative a `#call` e `#output_postamble`. Come soluzione alternativa, si consiglia di sanificare il valore restituito da `#call`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.