Rails ActiveSupport: Cross-Site Scripting über per MessagePack serialisierten SafeBuffer

Zusammenfassung

ActiveSupport, die Kernbibliothek von Ruby on Rails, serialisiert ein ActiveSupport::SafeBuffer mit MessagePack als reine Bytes. Ein Puffer, der nach dem Verlust des Status 'html_safe' an Ort und Stelle verändert wurde, zum Beispiel mit gsub!, wird beim erneuten Laden wieder als html_safe markiert. Enthält ein solcher Puffer unvertrauenswürdige Eingaben und wird später gerendert, wird das automatische Escaping von ERB umgangen, was zu Cross-Site Scripting (XSS) führen kann.

Betroffen

• Rails 8.1 ab 8.1.0 bis vor 8.1.4.1 (activesupport-Gem)
• Nur Anwendungen, die einen MessagePack-Serialisierer verwenden (cookies_serializer :message_pack oder :message_pack_allow_marshal oder serializer :message_pack für Rails.cache, MessageVerifier oder MessageEncryptor) und ein an Ort und Stelle mit unvertrauenswürdigen Eingaben verändertes SafeBuffer speichern
• Rails 8.0 und früher sind gemäss Advisory nicht betroffen

Behoben in

• Auf ActiveSupport 8.1.4.1 oder neuer aktualisieren

Umgehung

• Vor dem Speichern eines Werts in einem MessagePack-Serialisierer SafeBuffer-Objekte mit to_str in einen einfachen String umwandeln
• SafeBuffer-Objekte mit unvertrauenswürdigen Eingaben nicht in MessagePack-serialisierten Cookies, Cache-Einträgen oder signierten/verschlüsselten Werten speichern

Ausnutzung

• Nicht bekannt, dass die Schwachstelle ausgenutzt wird
• Nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept identifiziert
• EPSS unter 1 Prozent (laut OpenCVE)

Unsere Empfehlung

• Rails-Anwendungen inventarisieren und die activesupport-Versionen in Gemfile.lock prüfen
• Rails-8.1-Anwendungen auf 8.1.4.1 oder neuer aktualisieren; dieses Release behebt zusätzlich die kritische Active-Storage-Schwachstelle GHSA-f3w6-w445-fwh9
• Falls ein Update noch nicht möglich ist, prüfen, ob MessagePack-Serialisierer verwendet werden, und die to_str-Massnahme anwenden
• Code prüfen, der benutzergenerierte Inhalte aus gespeicherten Werten rendert, und fehlendes Escaping ausschliessen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-2w9f-fxwj-w2qf github.com
• Fix commit 4ca0906 (rails/rails) github.com
• Rails 8.1.4.1 release notes github.com
• OSV entry GHSA-2w9f-fxwj-w2qf osv.dev
• RubySec advisory GHSA-2w9f-fxwj-w2qf rubysec.com
• CVE Record CVE-2026-126075 www.cve.org
• OffSeq threat radar CVE-2026-126075 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:14.