Rails tiene una posible vulnerabilidad de XSS en sus excepciones de depuración de Action Pack

La vulnerabilidad radica en la falta de escape adecuado de los mensajes de excepción en la página de excepciones de depuración de Actionpack. Esta página se activa cuando config.considerallrequests_local = true está habilitado, lo cual es la configuración predeterminada en entornos de desarrollo. Un atacante puede crear una excepción con un mensaje especialmente diseñado que contenga código HTML o JavaScript malicioso. Cuando se muestra esta excepción en la página de depuración, el código malicioso se ejecuta en el navegador del usuario, permitiendo al atacante robar cookies, redirigir al usuario a sitios web maliciosos o realizar otras acciones dañinas en nombre del usuario. La severidad es baja debido a que la configuración predeterminada solo está habilitada en desarrollo, limitando el impacto potencial en producción.

Development teams using Ruby on Rails versions 8.1.2 and earlier are at risk. Specifically, applications configured with detailed exception pages enabled in development environments are particularly vulnerable. This includes developers working on new Rails projects or maintaining existing ones.

• ruby / server:

grep -r "config.consider_all_requests_local = true" config/environments/*.rb

• ruby / application code:

grep -r "exception_app.html.erb" app/views/exceptions/

1. 2026-03-23Disclosure

   disclosure

2. 2026-03-23Patch

   patch

1. Reservado2026-03-17
2. Publicada2026-03-23
3. Modificada2026-03-25
4. EPSS actualizado2026-03-31

La mitigación principal para esta vulnerabilidad es actualizar a la versión 8.1.2.1 de Actionpack o superior, que incluye la corrección. Si la actualización no es inmediatamente posible, deshabilitar temporalmente la página de excepciones de depuración estableciendo config.considerallrequests_local = false en el entorno de producción. Esta acción reducirá la superficie de ataque, pero no elimina completamente la vulnerabilidad. Implementar una política de seguridad de contenido (CSP) también puede ayudar a mitigar el impacto de cualquier XSS que pueda ocurrir. Verifique la correcta actualización revisando los logs de la aplicación después de la actualización para asegurar que no haya errores relacionados con el manejo de excepciones.