CVE-2018-16471CWE-79

CVE-2018-16471: falha em Rack

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar rack+ Monitorar rack

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

3Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 1.9%
Em resumo

Uma falha no Rack permite que atacantes injetem código malicioso no método scheme das requisições HTTP. Se a aplicação web usar esse valor sem proteção adequada, atacantes poderão executar scripts prejudiciais nos navegadores dos usuários.

Detalhe técnico

Vulnerabilidade XSS no método request.scheme do Rack por validação insuficiente de entrada. Atacantes podem criar requisições com payloads maliciosos que contornam a validação de scheme (http/https), afetando aplicações que confiam e renderizam o valor de scheme sem codificação de saída. O impacto é condicional à aplicação não usar mecanismos de escape padrão.

Resumo gerado e traduzido por IA a partir da descrição oficial.
There is a possible XSS vulnerability in Rack before 2.0.6 and 1.6.11. Carefully crafted requests can impact the data returned by the `scheme` method on `Rack::Request`. Applications that expect the scheme to be limited to 'http' or 'https' and do not escape the return value could be vulnerable to an XSS attack. Note that applications using the normal escaping mechanisms provided by Rails may not impacted, but applications that bypass the escaping mechanisms, or do not use them may be vulnerable.
Produtos afetados
Rack · Rack
CVEs relacionadas — Rack

No mesmo produto, das mais perigosas para as menos.

CVE-2018-16470—CVE-2018-16470EPSS 2.0%