CVE-2017-17917
WysokieStreszczenie
Podatność SQL injection w metodzie 'where' w Ruby on Rails 5.1.4 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru 'id'.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do manipulacji bazą danych, co może prowadzić do ujawnienia danych lub ich usunięcia.
Rekomendacja
Zaleca się aktualizację Ruby on Rails do wersji, która nie jest podatna na tę lukę oraz unikanie używania metody 'where' z niezaufanymi danymi wejściowymi.
Inne podatności w Ruby on Rails
Zobacz wszystkie- CVE-2017-17920Wysokie
Podatność typu SQL injection w metodzie 'reorder' w Ruby on Rails 5.1.4 i wcześniejszych pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru 'name'.
- CVE-2017-17919Wysokie
Podatność SQL injection w metodzie 'order' w Ruby on Rails 5.1.4 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru 'id desc'.
- CVE-2017-17916Wysokie
Podatność SQL injection w metodzie 'find_by' w Ruby on Rails 5.1.4 i wcześniejszych pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr 'name'.
- CVE-2016-6317Wysokie
Wersje Ruby on Rails 4.2.x przed 4.2.7.1 mają problem z obsługą parametrów w komponencie Active Record oraz implementacji JSON, co pozwala zdalnym atakującym na obejście ograniczeń zapytań do bazy danych.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in the 'where' method in Ruby on Rails 5.1.4 and earlier allows remote attackers to execute arbitrary SQL commands via the 'id' parameter. NOTE: The vendor disputes this issue because the documentation states that this method is not intended for use with untrusted input