CVE-2026-61696

Nome do Software Vulnerável e Versões Afetadas Forem versões anteriores ao commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c

Description Um invasor não autenticado pode enviar um valor malicioso através do parâmetro feedback message[message] via FeedbackMessagesController público. Quando um offender id está presente, esse valor é armazenado sem sanitização e renderizado usando a função raw(feedback message.message) no arquivo app/views/admin/feedback messages/ feedback message.html.erb. Isso permite a execução de JavaScript arbitrário no navegador de um administrador, podendo expor dados sensíveis da página, tokens CSRF (Cross-Site Request Forgery) de abuso—tokens usados para evitar que comandos não autorizados sejam transmitidos de um usuário em quem a aplicação web confia—ou realizar ações administrativas na sessão da vítima.

Recommendations Atualizar para a versão que contém o commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c.