CVE-2026-40295

Devise, Warden əsaslı Rails autentifikasiya həllidir. Versiya 5.0.3 və daha aşağı versiyalarda, Devise-də Timeoutable modulu aktiv olduqda, sessiyanın vaxtı bitməsi ilə nəticələnən hər hansı qeyri-GET sorğusu üçün FailureApp#redirect_url metodu hücum edən tərəf tərəfindən idarə oluna bilən HTTP Referer başlığı olan request.referrer-i heç bir yoxlama aparmadan qaytarır. Avtomatik göndərilən kross-domenli forma olan səhifəni host edən hücumçu, Devise sessiyasının vaxtı bitmiş qurbanı istənilən xarici URL-ə yönləndirə bilər. Bu, server tərəfli attempted_path-dən istifadə edən GET timeout yolu və xarici hostları extract_path_from_location vasitəsilə silən Devise-in öz store_location_for mexanizmi ilə ziddiyyət təşkil edir; hər ikisi qorunmuşdur, yalnız qeyri-GET timeout yönləndirmə yolu qorumasızdır. Sessiyasının vaxtı bitmiş istifadəçilər etibarlı tətbiq domenindən hücumçu tərəfindən idarə olunan URL-lərə gizlicə yönləndirilə bilər ki, bu da brauzer xəbərdarlıqlarını yan keçərək fişinq və zərərli proqramların ötürülməsini mümkün edir. Qeyd: Rails-in daxili açıq yönləndirmə (open-redirect) qoruması bu problemi aradan qaldırmır. Devise::FailureApp müvafiq yönləndirmə konfiqurasiyasının izolyasiya olunmuş surətinə malik ActionController::Metal tətbiqidir, buna görə də config.action_controller.action_on_open_redirect = :raise (və köhnə raise_on_open_redirects parametri) ona təsir etmir. Bu problem 5.0.4 versiyasında düzəldilmişdir.