CVE-2026-54163

secure_headers bir çox təhlükəsiz standart dəyərlərlə təhlükəsizlik başlıqlarının tətbiqini idarə edir. 7.3.0 versiyasından əvvəl secure_headers Content-Security-Policy dəyərini direktivləri ; ayırıcıları ilə birləşdirərək qurur və build_sandbox_list_directive, build_media_type_list_directive və build_report_to_directive funksiyaları çağıran tərəfindən verilən sətirləri ;, \r və ya \n simvollarını təmizləmədən interpolasiya edir. Etibarsız giriş SecureHeaders.override_content_security_policy_directives və ya :sandbox, :plugin_types və ya :report_to üçün append API-lərinə çatdıqda, hücumçu qanuni script-src-dən əvvəl script-src 'unsafe-inline' * kimi CSP direktivi yeridə bilər və bu, həmin sink-lər vasitəsilə XSS-ə əlçatanlığı və ya CSP hesabatlarının ekfiltrasiyasını mümkün edir. Bu problem 7.3.0 versiyasında düzəldilmişdir.