CVE-2016-7954
Publiée le 2016-12-22 · Dernière modification le 2026-06-17
Les applications Ruby utilisant Bundler 1.x sont vulnérables à l'exécution de code à distance si elles sont configurées pour utiliser plusieurs sources de gems. Un attaquant peut déclencher cela en publiant une gem malveillante dont le nom entre en conflit avec une gem légitime, lui permettant ainsi d'exécuter du code arbitraire sur votre serveur lors du processus d'installation des dépendances. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur et peut être effectuée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
Description officielle du NVD (en anglais)
Bundler 1.x might allow remote attackers to inject arbitrary Ruby code into an application by leveraging a gem name collision on a secondary source. NOTE: this might overlap CVE-2013-0334.