MEDIUM🇬🇧 English

CVE-2026-54497

CVSS 6.8v3.1pub. 2026-07-17upd. 2026-07-29

view_component to framework do budowania wielokrotnego użytku, testowalnych i enkapsulowanych komponentów widoku w Ruby on Rails. W wersjach od 4.0.0 do 4.12.0 instancje ViewComponent::Base zachowują obiekty przypisane do zakresu render across multiple calls do render_in; jeśli ta sama instancja komponentu, kolekcji lub spacer komponentu jest ponownie użyta across requests, użytkowników, dzierżawców lub wątków, późniejsze rendering mogą korzystać z nieaktualnych helpers, controllera, request, view_flow, format/variant detali i slot child context z wcześniejszego renderowania. Może to spowodować, że komponenty świadome autoryzacji renderują uprzywilejowany UI dla użytkownika z niższymi uprawnieniami, generują linki przy użyciu nieaktualnego nagłówka Host, ujawniają stan slot/helper i mieszają kontekst request podczas równoczesnego renderowania. Problem został naprawiony w wersji 4.12.0.

▸ Pokaż oryginał (EN)

view_component is a framework for building reusable, testable, and encapsulated view components in Ruby on Rails. From 4.0.0 until 4.12.0, ViewComponent::Base instances retain render-scoped objects across calls to render_in; if the same component, collection, or spacer component instance is reused across requests, users, tenants, or threads, later renders can use stale helpers, controller, request, view_flow, format/variant details, and slot child context from an earlier render. This can cause authorization-aware components to render privileged UI for a lower-privileged user, generate links using a stale Host header, leak slot/helper state, and mix request context under concurrent rendering. This issue is fixed in version 4.12.0.