Vulnérabilité XSS dans Ruby on Rails : alerte du CERT-FR

Le Centre d’Expertise gouvernemental de Réponse et de Traitement des Attaques informatiques (CERT-FR) a publié un avis relatif à une faille de sécurité affectant le framework Ruby on Rails.

Caractéristiques de la vulnérabilité

Cette vulnérabilité, classée comme une injection de code indirecte à distance (XSS), permet à un attaquant d’exécuter du code malveillant via des configurations spécifiques du composant rails-html-sanitizer.

Systèmes concernés

Les versions de Ruby on Rails antérieures à la 1.7.1 sont exposées à ce risque. Aucune autre version ou composant n’est mentionné comme impacté.

Recommandations

Les utilisateurs sont invités à se référer au bulletin de sécurité de l’éditeur pour appliquer les correctifs nécessaires. Le CERT-FR souligne l’importance de mettre à jour les systèmes dans les meilleurs délais afin de neutraliser cette faille.

Source : ANSSI / CERT-FR — Alertes & avis