CVE-2023-34102

WysokieCVSS 8.3

Opublikowano: 05/06/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.61%

Percentyl 73 - wyżej niż 73% wszystkich znanych CVE

Streszczenie

Avo to framework do tworzenia paneli administracyjnych w Ruby on Rails, który nie waliduje typów pól polimorficznych w backendzie. Może to prowadzić do nieoczekiwanego zachowania, zdalnego wykonania kodu lub awarii aplikacji przy przeglądaniu zmanipulowanego rekordu.

Ocena ryzyka

Brak walidacji danych wejściowych stwarza ryzyko zdalnego wykonania kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.

Rekomendacja

Zaleca się ograniczenie dostępu do aplikacji dla niezaufanych użytkowników do czasu wydania nowej wersji, która naprawi tę podatność.

Inne podatności w Avo framework

CVE-2023-34103Wysokie
Avo to framework do tworzenia paneli administracyjnych w Ruby on Rails, który w dotkniętych wersjach jest podatny na ataki typu Cross Site Scripting (XSS) przy renderowaniu treści HTML. Atakujący muszą mieć uprawnienia do edycji formularzy, aby skutecznie wykorzystać tę podatność.

Oryginalny opis (angielski, źródło NVD)

Avo is an open source ruby on rails admin panel creation framework. The polymorphic field type stores the classes to operate on when updating a record with user input, and does not validate them in the back end. This can lead to unexpected behavior, remote code execution, or application crashes when viewing a manipulated record. This issue has been addressed in commit `ec117882d` which is expected to be included in subsequent releases. Users are advised to limit access to untrusted users until a new release is made.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS