Rails Action Pack: Umgehung von Strong Parameters in ActionController::Parameters#each_key

Zusammenfassung

Action Pack, das Framework zur Verarbeitung von Webanfragen in Ruby on Rails, gibt bei ActionController::Parameters#each_key mit Block ein internes Hash statt des Parameters-Objekts zurück. Dieses Hash trägt die Prüfung permitted? nicht, weshalb Active Model Mass Assignment es ohne ActiveModel::ForbiddenAttributesError akzeptiert. Ein nicht authentifizierter Angreifer aus dem Netz könnte so Attribute setzen, die die Anwendung nicht erlaubt, etwa ein Autorisierungsflag, sofern die Anwendung den Rückgabewert von each_key an Mass Assignment übergibt. Rails selbst macht diesen Aufruf nicht. Diese CVE ist eine unvollständige Korrektur von CVE-2020-8164.

Betroffen

• Rails Action Pack 8.1 vor 8.1.4.1
• Rails Action Pack 8.0 vor 8.0.5.2
• Rails 7.2 und älter: Unbekannt.

Behoben in

• Rails Action Pack 8.1.4.1
• Rails Action Pack 8.0.5.2

Umgehung

• Den Rückgabewert von ActionController::Parameters#each_key nicht an Mass Assignment übergeben; stattdessen das geprüfte Parameters-Objekt verwenden.
• Den Code nach each_key-Aufrufen auf params durchsuchen (grep -rn 'each_key' app lib) und jeden Treffer prüfen.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Rails-Anwendungen und deren Versionen inventarisieren (Gemfile.lock).
• Auf Rails 8.1.4.1 aktualisieren, oder als kurzfristigen Schritt auf 8.0.5.2.
• Die Migration von 8.0 auf 8.1 planen, da der Sicherheitssupport für Rails 8.0 am 7. November 2026 endet.
• Code nach each_key-Aufrufen auf params durchsuchen, die in Mass Assignment fliessen, und diese beheben.
• Für Rails 7.2 und älter mit dem Rails-Team klären, ob diese CVE zutrifft.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-126081 Record www.cve.org
• GitHub Security Advisory GHSA-wm3x-v3qw-4jh3 github.com
• Fix commit 2fc8838 github.com
• Rails 8.1.4.1 release github.com
• Rails 8.0.5.2 release github.com
• Rails security releases 8.0.5.2 and 8.1.4.1 discuss.rubyonrails.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:50.