Katalog CVE
CVE-2016-7954
KrytyczneStreszczenie
Bundler w wersji 1.x może umożliwić zdalnym atakującym wstrzyknięcie dowolnego kodu Ruby do aplikacji poprzez wykorzystanie kolizji nazw gemów w źródle wtórnym.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad aplikacją, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Bundlera do najnowszej wersji oraz monitorowanie używanych gemów w celu uniknięcia kolizji nazw.
Oryginalny opis (angielski, źródło NVD)
Bundler 1.x might allow remote attackers to inject arbitrary Ruby code into an application by leveraging a gem name collision on a secondary source. NOTE: this might overlap CVE-2013-0334.