В Secure Headers (RubyGem secure_headers) уязвимость внедрения директив присутствует в версиях до 3.9.0, 5.2.0 и 6.3.0. Если предоставленны…

В Secure Headers (RubyGem secure_headers) уязвимость внедрения директив присутствует в версиях до 3.9.0, 5.2.0 и 6.3.0. Если предоставленный пользователем ввод передавался в append/override_content_security_policy_directives, можно было внедрить новую строку, что приводило к ограниченному внедрению заголовка. Увидев новую строку в заголовке, rails молча создаст новый заголовок Content-Security-Policy с оставшимся значением исходной строки. Он продолжит создавать новые заголовки для каждой новой строки. Это было исправлено в 6.3.0, 5.2.0 и 3.9.0.