github で actionviewの「潜在的なセキュリティの脆弱性」 ... どう対処すればいいのか？？？bundle update？？？

Question

github で 「依存関係の1つに潜在的なセキュリティの脆弱性が見つかりました。」どう対処すればいいのか？

Ruby on Rails 5.2.4.3

github、railsの初心者です。
まだまだおっかなびっくり使っています。

---

本日、githubで

We found a potential security vulnerability in one of your dependencies.

という表示に気付き、和訳すると
「依存関係の1つに潜在的なセキュリティの脆弱性が見つかりました。」

---

これはまずいと思い、横にあった「see dependabot alert」ボタンを押し、先に進むと

Upgrade actionview to version 5.2.4.4 or later. For example:

と有りましたので、actionview をアップデートすればよいのかと思い gemfile を見ました。

gem ”actionview”

などの記述が無いからそもそもインストールされていない？？？ しかし gemfile.lock を見ると、数箇所

actionview (= 5.2.4.3)

の記述がある？？

---

安易に
bundle update としていいのか？
bundle update actionview とスべきなのか？
gemfile に gem "actionview", ">= 5.2.4.4" と書いて bundle update actionview なのか？

actionview
も見ましたが、あまり理解できず、困っています。

---

実現したいこと

潜在的なセキュリティの脆弱性をなくしたい。

どなたかお詳しい方がいらっしゃいましたら
何卒ご教授くださいますようお願い申し上げます。

Answer 1

「gemfile に gem "actionview", ">= 5.2.4.4" と書いて bundle update」　でよいです。 actionview 指定はしないで良いです（しないほうが、かも）

Comments

[tomtomtomtom]

ありがとうございます！
ちょっと立て込んでおりますが
後ほどやってみます！

[tomtomtomtom]

やってみました。
さきにrailsのアップデートを行い
その後にactionviewで、問題なく動作しているようです。
誠にありがとうございました。

[tomtomtomtom]

高評価を付ける機能を知りませんでした。
誠にありがとうございました。

Answer 2

ActionViewはRailsに含まれているのでRailsのアップデートをしたほうが良いかなぁと思ったのですが、適切な知識がないので調べてみました。
参考になれば幸いです。

https://teratail.com/questions/249997

Comments

[tomtomtomtom]

ありがとうございます！
よく読んでやってみます！

[tomtomtomtom]

やってみました。
さきにrailsのアップデートを行い
その後にactionviewで、問題なく動作しているようです。
誠にありがとうございました。

[tomtomtomtom]

高評価を付ける機能を知りませんでした。
誠にありがとうございました。

Answer 3

互換性があるようで
railsの5.2.3では出来ませんでした。

そこで

gem 'rails', '~> 5.2.3','>= 5.2.4'

とgemfileを書き換えて
まずは
bundle update rails
とくに問題なく終わったので

gem 'actionview', '>= 5.2.4.4'

を追記して
bundle update actionview で問題解決に至りました。

ご回答頂いたお二方誠にありがとうございました。
返答が早かった方をベストアンザーにしたいです^^