Heimdall Security Logo

CVE-2024-54133

Vulnérabilité faible dans rails (rails)

CVSS 2.3 · Faible
EPSS 1.0%
rails•rails•Versions : >= 5.2.0, < 7.0.8.7, >= 8.0.0, < 8.0.0.1, >= 7.2.0, < 7.2.2.1, >= 7.1.0, < 7.1.5.1

Description

Action Pack is a framework for handling and responding to web requests. There is a possible Cross Site Scripting (XSS) vulnerability in the `content_security_policy` helper starting in version 5.2.0 of Action Pack and prior to versions 7.0.8.7, 7.1.5.1, 7.2.2.1, and 8.0.0.1. Applications which set Content-Security-Policy (CSP) headers dynamically from untrusted user input may be vulnerable to carefully crafted inputs being able to inject new directives into the CSP. This could lead to a bypass of the CSP and its protection against XSS and other attacks. Versions 7.0.8.7, 7.1.5.1, 7.2.2.1, and 8.0.0.1 contain a fix. As a workaround, applications can avoid setting CSP headers dynamically from untrusted input, or can validate/sanitize that input.

Gravité et risque d'exploitation

CVE-2024-54133 obtient un score CVSS de 2.3/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 1.00 %, ce qui la place devant 62.3 % des CVE référencées.

Que faire ?

  • Vérifiez si rails (versions >= 5.2.0, < 7.0.8.7, >= 8.0.0, < 8.0.0.1, >= 7.2.0, < 7.2.2.1, >= 7.1.0, < 7.1.5.1) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE