Une XSS pouvait survenir dans les helpers Action View `highlight` et, avec `html_options`, `simple_format`, lorsque le sanitiseur HTML5 était utilisé avec des entrées non fiables. Les versions concernées sont antérieures à 8.1.4.1 et 8.0.5.2 ; le défaut dépend notamment d’une sérialisation Nokogiri qui laisse certains chevrons non échappés dans les valeurs d’attributs.
Source : NVD — CVE-2026-126079
Analyse technique
Les helpers retraitent le HTML assaini comme une chaîne et peuvent transformer du contenu jusque-là inerte dans un attribut en éléments actifs. Les versions correctives exigent rails-html-sanitizer 1.7.2 ou ultérieur, Loofah 2.25.3 et Nokogiri 1.19.5.
Impact, versions et correctif
Action recommandée
Mettre à niveau Action View vers une version corrective et mettre à jour ses dépendances de sanitisation selon l’avis Rails.
Sources
Priorisation DFS : P4 · 1 source(s).