CVE-2024-54133

Versões do Action Pack 5.2.0 a 7.0.8.6

Versões do Action Pack 7.0.8.7 a 7.1.5.0

Versões do Action Pack 7.1.5.1 a 7.2.2.0

Versões do Action Pack 7.2.2.1 a 8.0.0.0

O problema está relacionado ao auxiliar content security policy no Action Pack, que pode permitir que um invasor realize ataques de Cross Site Scripting (XSS) ao injetar novas diretivas nos cabeçalhos da Política de Segurança de Conteúdo (CSP). Isso pode levar a uma contornamento da CSP e de sua proteção contra XSS e outros ataques. Aplicativos que definem cabeçalhos CSP dinamicamente a partir de entradas de usuários não confiáveis podem estar vulneráveis.

Para as versões do Action Pack 5.2.0 a 7.0.8.6, atualize para a versão 7.0.8.7 ou posterior.

Para as versões do Action Pack 7.0.8.7 a 7.1.5.0, atualize para a versão 7.1.5.1 ou posterior.

Para as versões do Action Pack 7.1.5.1 a 7.2.2.0, atualize para a versão 7.2.2.1 ou posterior.

Para as versões do Action Pack 7.2.2.1 a 8.0.0.0, atualize para a versão 8.0.0.1 ou posterior.

Como solução alternativa temporária, os aplicativos podem evitar definir cabeçalhos CSP dinamicamente a partir de entradas não confiáveis ou podem validar/sanitizar essas entradas.