CVE-2021-39197

better_errors, standart Rails hata sayfasının yerine geçen ve daha bilgi açısından zengin hata sayfaları sunan açık kaynaklı bir alternatiftir. Ayrıca herhangi bir Rack uygulamasında Rack ara katman yazılımı olarak Rails dışında da kullanılabilir. 2.8.0 öncesindeki better_errors sürümleri, dahili istekleri için CSRF koruması uygulamamıştır. Ayrıca bu istekler için doğru "Content-Type" başlığını zorunlu kılmamış, bu da CORS koruması olmadanlemen çapraz kökenli bir "basit isteğin" yapılmasına izin vermiştir. Bunlar birlikte, better_errors etkinleştirilmiş bir uygulamayı çapraz kökenli saldırılara açık hale getirmiştir. Bir geliştirici aracı olan better_errors dokümantasyonu, yalnızca `development` paket grubuna eklenmesini şiddetle tavsiye eder; dolayısıyla bu güvenlik açığı yalnızca geliştirme ortamlarını etkilemelidir. Lütfen projenizin better_errors kullanımını `development` grubuyla (veya Rails dışındaki karşılığıyla) sınırladığından emin olun. 2.8.x sürümüyle birlikte CSRF koruması zorunlu hale getirilmiştir. En son sürüme veya minimumda "~> 2.8.3" sürümüne yükseltmeniz önerilir. better_errors'ın eski sürümlerini kullanmanın risklerini azaltmak için bilinen bir geçici çözüm yoktur.