Ruby on Rails Action View: Cross-Site-Scripting im highlight-Helper
Zusammenfassung
Der highlight-Helper in Action View fügt gefundene Textstellen ohne Escaping von Anführungszeichen in einen benutzerdefinierten :highlighter-String ein und markiert das Ergebnis als HTML-sicher. Wenn der Highlighter den Platzhalter innerhalb eines in Anführungszeichen gesetzten Attributwerts platziert und der hervorgehobene Text vom Benutzer kontrolliert wird, kann ein Angreifer den Attributwert beenden und zusätzliche Attribute einschleusen, was zu Cross-Site-Scripting (XSS) führen kann. Der Standard-Highlighter und die Blockform sind nicht betroffen.
Betroffen
- Rails Action View 8.1 vor 8.1.4.1
- Rails Action View 8.0 vor 8.0.5.2
- Nur Anwendungen, die einen benutzerdefinierten :highlighter mit einem Platzhalter innerhalb eines Attributwerts verwenden und benutzerkontrollierten Text hervorheben
Behoben in
- Rails 8.1.4.1
- Rails 8.0.5.2
Umgehung
- Den Standard-Highlighter <mark>\1</mark> oder die Blockform von highlight verwenden, die nicht betroffen sind
- Benutzerkontrollierte Treffer nicht innerhalb von Attributwerten platzieren und Benutzertext vor dem Hervorheben HTML-escapen, falls ein benutzerdefinierter Highlighter weiterhin nötig ist
Ausnutzung
- Stand 10. November 2026 nicht als ausgenutzt bekannt (vorläufig)
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Rails-Anwendungen inventarisieren und die Action-View-Version in Gemfile.lock prüfen
- Auf 8.1.4.1 oder 8.0.5.2 aktualisieren; der Support für 8.0 endet am 7. November 2026, daher einen Wechsel auf 8.1 planen
- Code nach highlight-Aufrufen mit highlighter:-Argument durchsuchen und Platzhalter innerhalb von Attributen prüfen
- Das gleiche Release, das 21 weitere Probleme behebt, im regulären Patch-Zyklus einspielen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-v6rj-xm57-3p59 github.com
- Patch commit for 8.1 (06938194) github.com
- Patch commit for 8.0 (c796f619) github.com
- Rails v8.1.4.1 release github.com
- Rails v8.0.5.2 release github.com
- CVE Record CVE-2026-126078 www.cve.org
- Rails security release announcement rubyonrails.org
- OffSeq threat radar entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:13.
Referenzen der NVD (5)
- https://github.com/rails/rails/commit/06938194b4fd59e1d2c8ab4a781f3c1e2b763425
- https://github.com/rails/rails/commit/c796f6198837479ada13290eb8fa767b5219a58a
- https://github.com/rails/rails/releases/tag/v8.0.5.2
- https://github.com/rails/rails/releases/tag/v8.1.4.1
- https://github.com/rails/rails/security/advisories/GHSA-v6rj-xm57-3p59
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.