Vulnerabilidad en Ruby on Rails (CVE-2014-0080)
Gravedad CVSS v2.0:
MEDIA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
20/02/2014
Última modificación:
11/04/2025
Descripción
Vulnerabilidad de inyección SQL en activerecord/lib/active_record/connection_adapters/postgresql/cast.rb en Active Record en Ruby on Rails 4.0.x anterior a 4.0.3 y 4.1.0.beta1, cuando se utiliza PostgreSQL, permite a atacantes remotos ejecutar comandos SQL "add data" a través de vectores involucrando caracteres \ (barra invertida) que no están debidamente manejados en operaciones sobre columnas array.
Impacto
Puntuación base 2.0
6.80
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:rubyonrails:rails:4.0.0:-:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.0:beta:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.0:rc1:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.0:rc2:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.1:-:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.1:rc1:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.1:rc2:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.1:rc3:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.1:rc4:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.0.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:4.1.0:beta1:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página