CVE-2019-5420
ثغرة تنفيذ تعليمات برمجية عن بُعد في وضع التطوير في Rails <5.2.2.1 و<6.0.0.beta3 يمكن أن تتيح للمهاجم تخمين الرمز السري المُولّد تلقائيًا في وضع التطوير. ويمكن...
- تم النشر
- 27/03/2019
- محدث
- 04/08/2024
- تخصيص CNA
- hackerone
- الأدلة المرصودة
- 02/05/2019
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.8%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
ثغرة تنفيذ تعليمات برمجية عن بُعد في وضع التطوير في Rails <5.2.2.1 و<6.0.0.beta3 يمكن أن تتيح للمهاجم تخمين الرمز السري المُولّد تلقائيًا في وضع التطوير. ويمكن استخدام هذا الرمز السري مع مكونات Rails الداخلية الأخرى للتصعيد إلى استغلال تنفيذ تعليمات برمجية عن بُعد.
المصادر
modules/exploits/multi/http/rails_double_tap.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux($.exploit_multi/http/rails_double_tap.platform)
- verification: check_declared($.exploit_multi/http/rails_double_tap.check)
- CVE-2019-5420استغلال
يمكن أن تسمح ثغرة أمنية للمهاجم بتخمين رمز السر الذي يتم إنشاؤه تلقائيًا في وضع التطوير.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.