CVE-2026-54497

Nome do Software Vulnerável e Versões Afetadas view component versões 4.0.0 até 4.11.0

Descrição Instâncias de ViewComponent::Base retêm objetos com escopo de renderização entre chamadas à função render in(). Se a mesma instância de componente, coleção ou componente de espaçamento for reutilizada entre diferentes requisições, usuários, locatários (tenants) ou threads, renderizações posteriores podem utilizar dados obsoletos. Isso inclui helpers, controller, request, view flow, detalhes de formato/variante e contexto de filhos de slot de uma renderização anterior.

Este comportamento pode levar a vários problemas de segurança, como componentes cientes de autorização renderizando interfaces privilegiadas para usuários com menos privilégios, a geração de links usando um cabeçalho Host obsoleto e o vazamento de estado de slot ou helper. Além disso, pode causar a mistura de contexto de requisição durante a renderização concorrente.

Detalhes técnicos indicam que o problema decorre da memorização de valores com escopo de requisição usando ||= ou armazenamento para renderização posterior de slot/coleção, sem um reset completo do estado de escopo de renderização no início de cada renderização. Especificamente, as seguintes variáveis são afetadas: vc original view context, @lookup context, @view flow, @ vc requested details, @ vc controller, @ vc helpers e @ vc request.

Recomendações Atualize o view component para a versão 4.12.0. Como mitigação temporária, evite reutilizar a mesma instância de componente, coleção ou componente de espaçamento entre diferentes contextos de renderização; garanta que uma nova instância seja criada para cada renderização (ex: usando render(MyComponent.new(...))).