CVE-2020-36327

WysokieCVSS 8.8

Opublikowano: 29/04/2021(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

6.31%

Percentyl 93 - wyżej niż 93% wszystkich znanych CVE

Streszczenie

Bundler w wersjach 1.16.0 do 2.2.9 oraz 2.2.11 do 2.2.16 czasami wybiera źródło zależności na podstawie najwyższego numeru wersji gem, co oznacza, że złośliwy gem z publicznego źródła może zostać wybrany zamiast zamierzonego prywatnego gemu.

Ocena ryzyka

Może prowadzić do ataku typu Dependency Confusion, w którym instalowany jest złośliwy pakiet, co może skutkować wykonaniem kodu w środowisku budowania.

Rekomendacja

Zaktualizuj Bundler do wersji nowszej niż 2.2.16, która naprawia tę podatność, oraz stosuj przypinanie zależności do zaufanych źródeł.

Inne podatności w Bundler

CVE-2016-7954Krytyczne
Bundler w wersji 1.x może umożliwić zdalnym atakującym wstrzyknięcie dowolnego kodu Ruby do aplikacji poprzez wykorzystanie kolizji nazw gemów w źródle wtórnym.

Oryginalny opis (angielski, źródło NVD)

Bundler 1.16.0 through 2.2.9 and 2.2.11 through 2.2.16 sometimes chooses a dependency source based on the highest gem version number, which means that a rogue gem found at a public source may be chosen, even if the intended choice was a private gem that is a dependency of another private gem that is explicitly depended on by the application. NOTE: it is not correct to use CVE-2021-24105 for every "Dependency Confusion" issue in every product.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS