CVE-2013-0175
Publiée le 2013-04-25 · Dernière modification le 2026-06-16
Les applications Ruby utilisant la gem `multi_xml` (version 0.5.2) ou le framework Grape (avant la version 0.2.6) sont vulnérables à des attaques d'exécution de code à distance ou de déni de service. Un attaquant peut y parvenir en envoyant une charge utile XML spécialement conçue qui déclenche une injection d'objet inappropriée. Aucune authentification ni interaction de l'utilisateur n'est requise, car l'exploit peut être déclenché via le réseau avec une faible complexité.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
multi_xml gem 0.5.2 for Ruby, as used in Grape before 0.2.6 and possibly other products, does not properly restrict casts of string values, which allows remote attackers to conduct object-injection attacks and execute arbitrary code, or cause a denial of service (memory and CPU consumption) involving nested XML entity references, by leveraging support for (1) YAML type conversion or (2) Symbol type conversion, a similar vulnerability to CVE-2013-0156.