Vulnerabilidad en RDoc y Ruby (CVE-2024-27281)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-502
Deserialización de datos no confiables
Fecha de publicación:
14/05/2024
Última modificación:
20/08/2024
Descripción
Se descubrió un problema en RDoc 6.3.3 a 6.6.2, tal como se distribuye en Ruby 3.x a 3.3.0. Al analizar .rdoc_options (utilizado para la configuración en RDoc) como un archivo YAML, la inyección de objetos y la ejecución remota de código resultante son posibles porque no hay restricciones en las clases que se pueden restaurar. (Al cargar el caché de documentación, la inyección de objetos y la ejecución remota de código resultante también son posibles si hubiera un caché manipulado). La versión principal fija es 6.6.3.1. Para los usuarios de Ruby 3.0, una versión fija es rdoc 6.3.4.1. Para los usuarios de Ruby 3.1, una versión fija es rdoc 6.4.1.1. Para los usuarios de Ruby 3.2, una versión fija es rdoc 6.5.1.1.
Impacto
Puntuación base 3.x
4.50
Gravedad 3.x
MEDIA