Vulnerabilidad en actionview de rails (CVE-2026-33168)
Gravedad CVSS v4.0:
BAJA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
23/03/2026
Última modificación:
24/03/2026
Descripción
Action View proporciona convenciones y ayudantes para construir páginas web con el framework Rails. Anteriormente a las versiones 8.1.2.1, 8.0.4.1 y 7.2.3.1, cuando se utiliza una cadena vacía como nombre de atributo HTML en los ayudantes de etiquetas de Action View, el escape de atributos se omite, produciendo HTML malformado. Un valor de atributo cuidadosamente elaborado podría entonces ser malinterpretado por el navegador como un nombre de atributo separado, posiblemente llevando a XSS. Las aplicaciones que permiten a los usuarios especificar atributos HTML personalizados se ven afectadas. Las versiones 8.1.2.1, 8.0.4.1 y 7.2.3.1 contienen un parche.
Impacto
Puntuación base 4.0
2.30
Gravedad 4.0
BAJA
Referencias a soluciones, herramientas e información
- https://github.com/rails/rails/commit/0b6f8002b52b9c606fd6be9e7915d9f944cf539c
- https://github.com/rails/rails/commit/63f5ad83edaa0b976f82d46988d745426aa4a42d
- https://github.com/rails/rails/commit/c79a07df1e88738df8f68cb0ee759ad6128ca924
- https://github.com/rails/rails/releases/tag/v7.2.3.1
- https://github.com/rails/rails/releases/tag/v8.0.4.1
- https://github.com/rails/rails/releases/tag/v8.1.2.1
- https://github.com/rails/rails/security/advisories/GHSA-v55j-83pf-r9cq