Action View: Möglicher XSS über Leerzeichen-Attributnamen in Tag-Helfern

Zusammenfassung

Action View, die Komponente für View-Rendering von Ruby on Rails, kann fehlerhaftes HTML erzeugen, wenn ein nur aus Leerzeichen bestehender Attributname an die Tag-Helfer übergeben wird, darunter image_tag, video_tag und audio_tag. Ein präparierter Attributwert kann vom Browser dann als separater Attributname interpretiert werden, was zu Cross-Site Scripting (XSS) führen kann. Das Problem betrifft nur Anwendungen, die Benutzern die Wahl von HTML-Attributnamen erlauben. Der frühere Fix für CVE-2026-33168 war unvollständig.

Betroffen

• Action View 8.1 vor 8.1.4.1
• Action View vor 8.0.5.2
• Ältere Zweige: Unbekannt.

Behoben in

• Aktualisierung auf 8.1.4.1
• Aktualisierung auf 8.0.5.2

Umgehung

• Unbekannt. Kein Workaround des Herstellers gefunden.
• Benutzerkontrollierte Zeichenketten nicht als HTML-Attributnamen an Tag-Helfer übergeben.
• Benutzerdefinierte Attributnamen auf eine feste Allowlist beschränken.

Ausnutzung

• Nicht in CISA KEV aufgeführt.
• EPSS-Wert 0.00235.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• Keine bekannte Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Prüfen, ob Anwendungen Benutzern die Definition von HTML-Attributnamen erlauben.
• Betroffene Rails-Anwendungen auf 8.1.4.1 oder 8.0.5.2 aktualisieren, zusammen mit den übrigen Rails-Sicherheitsfixes von November 2026.
• Bis zur Aktualisierung die Allowlist-Beschränkung für benutzerdefinierte Attributnamen anwenden.
• Hinweis: Das Release behebt auch eine kritische Active-Storage-Schwachstelle (GHSA-f3w6-w445-fwh9), die höhere Priorität hat.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-68p9-83h6-5wpj github.com
• CVE Record CVE-2026-126069 www.cve.org
• Fix commit 9190210 github.com
• Fix commit f474525 github.com
• Rails v8.1.4.1 release github.com
• Rails v8.0.5.2 release github.com
• Rails security releases announcement rubyonrails.org
• OpenCVE CVE-2026-126069 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:15.