CVE-2019-5418: fallo de gravedad alta en Rails https://github.com/rails/rails
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Una vulnerabilidad en Action View permite a los atacantes leer archivos arbitrarios del servidor mediante headers accept especialmente diseñados. Esto puede exponer datos sensibles como archivos de configuración o claves privadas.
Vulnerabilidad de travesía de directorios (CWE-22) en el manejo de headers accept de Action View permite que atacantes no autenticados divulguen el contenido de archivos arbitrarios a través de headers HTTP especialmente construidos, sin requerir autenticación ni permisos especiales. Versiones afectadas: <5.2.2.1, <5.1.6.2, <5.0.7.2, <4.2.11.1 y v3.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.