CVE-2026-44836 in view_component
Сводка
по VulDB • 26.05.2026
view_component — это фреймворк для создания переиспользуемых, тестируемых и инкапсулированных компонентов представления в Ruby on Rails. В версиях от 3.0.0 до 4.9.0 маршрут предварительного просмотра (preview route) извлекает имя примера из URL-адреса и вызывает его с помощью метода public_send. Код не проверяет, является ли запрошенный метод одним из примеров предварительного просмотра, явно определенных классом Preview. В результате общедоступные методы, унаследованные от ViewComponent::Preview, становятся доступными через маршруты. Наиболее важным из них является render_with_template, который принимает параметры template: и locals:. Эти значения могут поступать из параметров запроса и впоследствии передаются в Rails как шаблон для рендеринга (render template:). Если предварительные просмотры (previews) доступны, злоумышленник может отрендерить внутренние шаблоны Rails, которые в противном случае не доступны через маршрутизацию. Эта уязвимость исправлена в версии 4.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.