Rails Action View: Cross-Site Scripting über strip_tags-Ausgabe in HTML-Attributen

Zusammenfassung

Die Methode strip_tags in Action View gibt ihre Ausgabe als html_safe markiert zurück, codiert aber nur &, < und >, nicht jedoch doppelte und einfache Anführungszeichen. Gibt eine Anwendung diese Ausgabe aus untrusted Eingaben innerhalb eines in Anführungszeichen gesetzten HTML-Attributs aus, etwa in einem title-Attribut oder einem meta-content-Tag, kann ein Angreifer das Attribut verlassen und neue Attribute einfügen, was zu Cross-Site Scripting führen kann. Ausgaben als Element-Inhalt sind nicht betroffen.

Betroffen

• Rails-Versionen unterhalb 8.0.5.2
• Rails 8.1-Versionen unterhalb 8.1.4.1

Behoben in

• Rails 8.0.5.2
• Rails 8.1.4.1
• Rails 7.2, 7.1 und 6.1 werden upstream nicht korrigiert (nicht mehr unterstützt)

Umgehung

• strip_tags-Ausgabe nicht in HTML-Attribute einfügen; stattdessen einen Tag-Helper wie tag.a(title: strip_tags(user_input)) verwenden, der Attributwerte escaped.
• Ausgaben als Element-Inhalt sind nicht betroffen.

Ausnutzung

Unbekannt. Zum Zeitpunkt der Recherche wurden weder Berichte über Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Auf Rails 8.1.4.1 aktualisieren oder auf 8.0.5.2, falls die Anwendung noch nicht auf 8.1 wechseln kann. Die Sicherheitsunterstützung für Rails 8.0 endet mit diesem Release.
• Prüfen, ob untrusted Eingaben über strip_tags in Attributwerte gelangen, und bei verzögerter Aktualisierung den Tag-Helper-Workaround anwenden.
• Ausgaben testen, da Anführungszeichen nun als &quot; und &#39; codiert werden.
• Die kritische Active-Storage-Korrektur GHSA-f3w6-w445-fwh9 im selben Release priorisieren, falls Uploads mit mini_magick verarbeitet werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA-rq8q-p985-fjq7 Security Advisory github.com
• Fix commit 568b19c github.com
• Fix commit c3772a1 github.com
• Rails 8.0.5.2 release github.com
• Rails 8.1.4.1 release github.com
• Rails security release announcement rubyonrails.org
• ActionView SanitizeHelper documentation edgeapi.rubyonrails.org
• CVE-2026-126070 CNA record summary www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:15.