CVE-2012-2661
Die Active Record-Komponente in Ruby on Rails 3.0.x vor 3.0.13, 3.1.x vor 3.1.5 und 3.2.x vor 3.2.4 implementiert die Übergabe von Anfragedaten an eine...
- Veröffentlicht
- 22.06.2012
- Aktualisiert
- 06.08.2024
- CNA zuweisen
- redhat
- Beweise beobachtet
- 04.08.2026
Primäres CVSS
nvd · CVSS 2.0
AV:N/AC:L/Au:N/C:P/I:N/A:NNiedrig · nächste 30 Tage
- Perzentil
- 90,5 %
- Modelldatum
- 21.09.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Die Active Record-Komponente in Ruby on Rails 3.0.x vor 3.0.13, 3.1.x vor 3.1.5 und 3.2.x vor 3.2.4 implementiert die Übergabe von Anfragedaten an eine where-Methode in einer ActiveRecord-Klasse nicht ordnungsgemäß, was es entfernten Angreifern ermöglicht, bestimmte SQL-Injection-Angriffe über verschachtelte Abfrageparameter durchzuführen, die unbeabsichtigte Rekursion ausnutzen, ein verwandtes Problem zu CVE-2012-2695.
Quellen
1Proof-of-Concept-Exploit für CVE-2012-2661, eine SQL-Injection-Sicherheitslücke in Ruby on Rails ActiveRecord. Enthält einen Bericht auf Malaysisch, der den Angriffsvektor demonstriert.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.