Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Rails (CVE-2019-5420)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-330 Uso de valores insuficientemente aleatorios
Fecha de publicación:
27/03/2019
Última modificación:
07/11/2023

Descripción

Una vulnerabilidad de ejecución remota de código en el modo de desarrollo de Rails, en versiones anteriores a la 5.2.2.1 y la 6.0.0.beta3, podría permitir que un atacante adivine el token secreto del modo de desarrollo generado automáticamente. Este token secreto puede emplearse en combinación con otros internals de Rails para escalar a un exploit de ejecución remota de código.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:rubyonrails:rails:*:*:*:*:*:*:*:* 5.2.2.1 (excluyendo)
cpe:2.3:a:rubyonrails:rails:6.0.0:beta1:*:*:*:*:*:*
cpe:2.3:a:rubyonrails:rails:6.0.0:beta2:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:30:*:*:*:*:*:*:*