Ruby allowed_uri? Bypass via HTML Named Character References Fix

Vulnerability Overview This vulnerability involves an update to the method to handle whitespace character references. Specifically, the method decodes HTML entities using . While this handles numeric character references, it does not handle HTML named character references. For example, and in are decoded into a tab and a newline, respectively, potentially bypassing certain security restrictions. Impact Scope This vulnerability affects all applications that use the method to validate URIs. Attackers can bypass security restrictions by using named whitespace character references (such as and ) within URIs to execute potentially malicious operations. Remediation The fix involves explicitly handling named whitespace character references within the method. The specific modifications are as follows: 1. Add constants for named whitespace character references: 2. Handle these references in the method: ```ruby def allowed_uri?(uri_string) uri_string = CGI.unescapeHTML(uri_string.gsub(CONTROL_CHARACTERS, "")) uri_string.gsub(CONTROL_CHARACTERS, "") .gsub(":", ":") .gsub("&tab;", "\t") .gsub("&newline;", "\n") .gsub("&cr;", "\r") .gsub("&", "&") .gsub("<", "") .gsub(""", "\"") .gsub("'", "'") .gsub(" ", " ") .gsub("", "") .gsub("", "") .gsub("", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gsub("‏", "") .gsub("‎", "") .gs

Goal Reached Thanks to every supporter — we hit 100%!

Ruby allowed_uri? Bypass via HTML Named Character References Fix

More from this source