JVNDB-2026-025985

viewcomponentのview componentにおける複数の脆弱性

view_componentは、Ruby on Railsで再利用可能でテスト可能かつカプセル化されたビューコンポーネントを構築するためのフレームワークです。バージョン4.0.0から4.12.0までの間、ViewComponent::Baseのインスタンスはrender_inの呼び出し間でレンダースコープ内のオブジェクトを保持していました。同じコンポーネント、コレクション、またはスペーサーコンポーネントのインスタンスがリクエスト、ユーザー、テナント、またはスレッドをまたいで再利用される場合、後のレンダーで以前のレンダーからの古いヘルパー、コントローラー、リクエスト、view_flow、format/variantの詳細、およびスロットの子コンテキストを使用することがあります。これにより、認可を考慮したコンポーネントが権限の低いユーザーに対して特権的なUIをレンダーしたり、古いHostヘッダーを使用してリンクを生成したり、スロットやヘルパーの状態が漏洩したり、同時レンダリング中にリクエストコンテキストが混在したりする可能性があります。この問題はバージョン4.12.0で修正されています。

viewcomponent

• view component 4.0.0 以上 4.12.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Reused Component Instances Retain Stale Render Context  Advisory  ViewComponent/view_component  GitHub

1. 競合状態(CWE-362) [その他]
2. 誤ったセッションへのデータ要素の漏えい(CWE-488) [その他]
3. 誤った領域へのリソースの漏えい(CWE-668) [その他]

1. CVE-2026-54497

1. National Vulnerability Database (NVD) : CVE-2026-54497
2. 関連文書 : Release 4.12.0  ViewComponent/view_component  GitHub
3. 関連文書 : Merge commit from fork  ViewComponent/view_component@6796b2e  GitHub

• [2026年07月30日]
    掲載