Rails Action View: Cross-Site-Scripting in Text-Helpern highlight und simple_format

Zusammenfassung

Die Helper highlight und simple_format in Action View können Markup aus HTML-Attributwerten erneut ausgeben, das der HTML5-Sanitizer zuvor unschädlich gemacht hatte, wenn der Nokogiri-Serializer < und > in Attributen nicht escaped. Ein Angreifer, der Text an diese Helper liefern kann, kann dadurch Skripte im Browser eines Benutzers ausführen lassen, der die Seite anzeigt. Die Lücke erfordert den HTML5-Sanitizer, der bei Anwendungen mit load_defaults 7.1 oder neuer der Standard ist, sowie unvertrauenswürdigen Text, der an highlight oder an simple_format mit html_options übergeben wird; eine Benutzerinteraktion ist nötig.

Betroffen

• Rails-Versionen vor 8.0.5.2
• Rails-8.1-Versionen vor 8.1.4.1
• Anwendungen mit HTML5-Sanitizer und Nokogiri vor 1.19.5 (rails-html-sanitizer vor 1.7.2, Loofah vor 2.25.3)
• Rails 7.2 und älter: keine korrigierte Version veröffentlicht; Betroffenheit nur gemäss einer Drittquelle

Behoben in

• Rails 8.0.5.2
• Rails 8.1.4.1
• Nokogiri 1.19.5 oder neuer, rails-html-sanitizer 1.7.2 oder neuer, Loofah 2.25.3 oder neuer

Umgehung

• Nokogiri auf 1.19.5 oder neuer aktualisieren (laut Herstellerhinweis die Escaping-Korrektur)
• Alternativ config.action_view.sanitizer_vendor = Rails::HTML4::Sanitizer setzen
• Dies sind Teilmassnahmen; die vollständige Korrektur erfordert zusätzlich rails-html-sanitizer 1.7.2+ und Loofah 2.25.3+

Ausnutzung

• Gemäss einem Aggregator nicht bekannt, dass die Lücke ausgenutzt wird (keine Aussage von Hersteller oder CISA gefunden)
• Zum Recherchezeitpunkt wurde kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Rails-Anwendungen identifizieren und prüfen, ob highlight oder simple_format mit html_options auf unvertrauenswürdigen Text angewendet werden
• Auf Rails 8.1.4.1 oder 8.0.5.2 zusammen mit dem übrigen Sicherheitsrelease aktualisieren, inklusive der kritischen Active-Storage-Korrektur
• Rails-8.0-Anwendungen auf 8.1 migrieren, da der Sicherheitssupport für 8.0 am 7. November 2026 endet
• Upgrades für Rails 7.2 und älter planen, für die keine offizielle korrigierte Version vorliegt
• Den Herstellerhinweis GHSA-2p2f-4rq4-gjwc auf Aktualisierungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126079 www.cve.org
• Rails GitHub Security Advisory GHSA-2p2f-4rq4-gjwc github.com
• Rails 8.0.5.2 and 8.1.4.1 release announcement rubyonrails.org
• Rails release v8.1.4.1 github.com
• Rails release v8.0.5.2 github.com
• Rails commit adc3a32 (8.1 fix) github.com
• Rails commit 009ea68 (8.0 fix) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:14.