CVE-2017-17916
WysokieStreszczenie
Podatność SQL injection w metodzie 'find_by' w Ruby on Rails 5.1.4 i wcześniejszych pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr 'name'.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do manipulacji bazą danych, co może prowadzić do ujawnienia danych lub ich usunięcia.
Rekomendacja
Zaleca się unikanie używania metody 'find_by' z niezaufanymi danymi wejściowymi oraz aktualizację do nowszej wersji Ruby on Rails, jeśli to możliwe.
Inne podatności w Ruby on Rails
Zobacz wszystkie- CVE-2017-17920Wysokie
Podatność typu SQL injection w metodzie 'reorder' w Ruby on Rails 5.1.4 i wcześniejszych pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru 'name'.
- CVE-2017-17919Wysokie
Podatność SQL injection w metodzie 'order' w Ruby on Rails 5.1.4 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru 'id desc'.
- CVE-2017-17917Wysokie
Podatność SQL injection w metodzie 'where' w Ruby on Rails 5.1.4 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru 'id'.
- CVE-2016-6317Wysokie
Wersje Ruby on Rails 4.2.x przed 4.2.7.1 mają problem z obsługą parametrów w komponencie Active Record oraz implementacji JSON, co pozwala zdalnym atakującym na obejście ograniczeń zapytań do bazy danych.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in the 'find_by' method in Ruby on Rails 5.1.4 and earlier allows remote attackers to execute arbitrary SQL commands via the 'name' parameter. NOTE: The vendor disputes this issue because the documentation states that this method is not intended for use with untrusted input